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改革 开放 以 来 ,特别 是 党 的 十 五 大 以 来 ,我 国教 育 事业 取得 了 举世 瞩目 的 辉煌 成 就 ,高 等 
教育 实现 了 历史 性 的 跨越 ,已 由 精英 教育 阶段 进入 国际 公认 的 大 众 化 教育 阶段 。 在 质 
量 不 断 提高 的 基础 上 ,高 等 教育 规模 取得 如 此 快速 的 发 展 ,创造 了 世界 教育 发 展 史 上 的 
奇迹 。 当 前 ,教育 工作 既 面 临 着 千载难逢 的 良好 机 遇 , 同 时 也 面临 着 前 所 未 有 的 严峻 挑 
战 。 社 会 不 断 增长 的 高 等 教育 需求 同 教育 供给 特别 是 优质 教育 供给 不 足 的 矛盾 ,是 现 
阶段 教育 发 展 面临 的 基本 了 矛盾。 

教育 部 一 直 十 分 重视 高 等 教育 质量 工作 。2001 年 8 月 ,教育 部 下 发 了 《关于 加 强 
高 等 学 校本 科教 学 工作 ,提高 教学 质量 的 若干 意见 》 提 出 了 十 二 条 加 强 本 科教 学 工作 
提高 教学 质量 的 措施 和 意见 。2003 年 6 月 和 2004 年 2 月 ,教育 部 分 别 下 发 了 《关于 启 
动 高 等 学 校 教学 质量 与 教学 改革 工程 精品 课程 建设 工作 的 通知 》 和 《教育 部 实施 精品 课 
程 建设 提高 高 校 教学 质量 和 人 才 培 养 质 量 ) 文 件 ,指出 “高 等 学 校 教学 质量 和 教学 改革 
工程 ”是 教育 部 正在 制定 的 (2003 一 2007 年 教育 振兴 行动 计划 ) 的 重要 组 成 部 分 ,精品 
课程 建设 是 “质量 工程 ”的 重要 内 容 之 一 。 教 育 部 计划 用 五 年 时 间 (2003 一 2007 年 ) 建 
设 1500 门 国家 级 精品 课程 ,利用 现代 化 的 教育 信息 技术 手段 将 精品 课程 的 相关 内 容 上 
网 并 免费 开放 ,以 实现 优质 教学 资源 共享 ,提高 高 等 学 校 教学 质量 和 人 才 培 养 质量 。 

为 了 深入 贯彻 落实 教育 部 (关于 加 强 高 等 学 校本 科教 学 工作 ,提高 教学 质量 的 若干 
意见 精神 ,紧密 配合 教育 部 已 经 启动 的 “高 等 学 校 教学 质量 与 教学 改革 工程 精品 课程 
建设 工作 ”, 在 有 关 专 家 ,教授 的 倡议 和 有 关 部 门 的 大 力 支 持 下 ,我 们 组 织 并 成 立 了 * 清 
华 大 学 出 版 社 教材 编审 委员 会 "(以 下 简称 “ 编 委 会 ”) , 旨 在 配合 教育 部 制定 精品 课程 教 
材 的 出 版 规划 ,讨论 并 实施 精品 课程 教材 的 编写 与 出 版 工作 。“ 编 委 会 "成员 皆 来 自 全 
国 各 类 高 等 学 校 教学 与 科研 第 一 线 的 骨干 教师 ,其 中 许多 教师 为 各 校 相关 院 、 系 主管 教 
学 的 院 长 或 系 主任 。 

按照 教育 部 的 要 求 ,“ 编 委 会 一致 认为 ,精品 课程 的 建设 工作 从 开始 就 要 坚持 高 标 
准 、 严 要 求 ,处 于 一 个 比较 高 的 起 点 上 ; 精品 课程 教材 应 该 能 够 反映 各 高 校 教学 改革 与 
课程 建设 的 需要 ,要 有 特色 风格 有 创新 性 (新 体系 、 新 内 容 、 新 手段 、 新 思路 ,教材 的 内 
容 体 系 有 较 高 的 科学 创新 ,技术 创新 和 理念 创新 的 含量 )、 先 进 性 (对 原 有 的 学 科 体 系 有 
实质 性 的 改革 和 发 展 、 顺 应 并 符合 新 世纪 教学 发 展 的 规律 \ 代 表 并 引领 课程 发 展 的 趋 
势 和 方向 ) .示范 性 (教材 所 体现 的 课程 体系 具有 较 广 泛 的 辐射 性 和 示范 性 ) 和 一 定 的 


前 瞻 性 。 教 材 由 个 人 申报 或 各 校 推荐 (通过 所 在 高 校 的 “ 编 委 会 ”成员 推荐 ) ,经 “ 编 委 会 " 认 
真 评 审 , 最 后 由 清华 大 学 出 版 社 审定 出 版 。 

目前 ,针对 计算 机 类 和 电子 信息 类 相关 专业 成 立 了 两 个 “ 编 委 会 ”, 即 “清华 大 学 出 版 社 
计算 机 教材 编审 委员 会 "和 “清华 大 学 出 版 社 电子 信息 教材 编审 委员 会 "。 首 批 推 出 的 特色 
精品 教材 包括 : 

(1) 高 等 学 校 教材 * 计算 机 应 用 一 一 高 等 学 校 各 类 专业 ,特别 是 非 计算 机 专业 的 计算 
机 应 用 类 教材 。 

(2) 高 等 学 校 教材 ， 计算 机 科学 与 技术 一 一 高 等 学 校 计算 机 相关 专业 的 教材 。 

(3) 高 等 学 校 教材 。 电子 信息 一 一 高 等 学 校 电子 信息 相关 专业 的 教材 。 

(4) 高 等 学 校 教材 。 软件 工程 一 一 高 等 学 校 软件 工程 相关 专业 的 教材 。 

(5) 高 等 学 校 教材 信息 管理 与 信息 系统 。 

(6) 高 等 学 校 教材 ， 财经 管理 与 计算 机 应 用 。 


清华 大 学 出 版 社 经 过 20 年 的 努力 ,在 教材 尤其 是 计算 机 和 电子 信息 类 专业 教材 出 版 方 
面 树立 了 权威 品牌 ,为 我 国 的 高 等 教育 事业 做 出 了 重要 贡献 。 清 华 版 教材 形成 了 技术 准确 、 
内 容 严谨 的 独特 风格 ,这 种 风格 将 延续 并 反映 在 特色 精品 教材 的 建设 中 。 


清华 大 学 出 版 社 教材 编审 委员 会 


E-mail: dingl@ tup. tsinghua. edu. cn 
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计算 机 网 络 的 发 展 , 特 别 是 Internet 的 发 展 和 普及 应 用 ,为 人 类 带 来 了 新 的 工作 、 学 习 和 
生活 方式 ,使 人 们 与 计算 机 网 络 的 联系 越 来 越 密切 。 计 算 机 网 络 系统 提供 了 丰富 的 资 
源 以 便 用 户 共享 ,提高 了 系统 的 灵活 性 和 便捷 性 ,也 正 是 这 些 特 点 ,增加 了 网 络 系统 的 
脆弱 性 、 网 络 受 威胁 和 攻击 的 可 能 性 以 及 网 络 安全 的 复杂 性 。 因 此 , 随 着 资源 共享 程度 
的 加 强 , 计 算 机 网 络 系 统 的 安全 问题 也 变 得 日 益 突 出 和 复杂 。 在 计算 机 网 络 应 用 中 ,人 
们 发 现 自己 的 系统 不 断 受 到 侵害 ,系统 信息 不 断 遭 到 破坏 ,其 形式 的 多 样 化 .技术 的 先 
进 且 复杂 化 , 令 人 防不胜防 。 因 此 ,如 何 使 计算 机 网 络 系统 不 受 破坏 ,提高 系统 的 安全 
可 靠 性 ,已 成 为 人 们 关注 和 陂 须 解 决 的 问题 。 每 个 网 络 机 构 的 管理 人 员 、 网 络 系统 用 户 
和 工程 技术 人 员 都 应 该 掌握 一 定 的 计算 机 网 络 安全 技术 ,以 使 自己 的 信息 系统 能 够 安 
全 稳定 地 运行 并 提供 正常 的 安全 服务 。 

当然 ,解决 网 络 系统 的 安全 问题 是 一 个 系统 工程 , 它 不 仅 涉及 技术 问题 ,还 涉及 管 
理 \ 法 律 和 道德 ,也 是 一 个 社会 问题 。 

本 书 自 2006 年 5 月 出 版 以 来 已 多 次 印刷 ,2006 年 又 被 批准 为 “十 一 五 ”国家 级 规 
划 教 材 。 由 于 计算 机 网 络 安全 的 相关 技术 更 新 和 发 展 很 快 ,为 了 使 读者 能 较 全 面 、 及 时 
地 了 解 和 应 用 计算 机 网 络 安全 技术 ,掌握 有 关 网 络 安全 的 实践 技能 和 实际 应 用 ,编者 对 
原 书 进行 了 修订 和 补充 。 这 次 修订 的 主要 思路 是 : 减少 和 压缩 网 络 安全 的 概念 和 理论 
介绍 ,去 掉 不 实用 和 过 时 的 内 容 ,重点 增加 一 些 实用 的 网 络 安全 新 技术 和 软件 的 应 用 实 
践 。 具 体 的 修订 和 补充 之 处 是 : 增加 了 网 络 系统 安全 的 日 常 管理 及 操作 ,网 络 的 日 志 
管理 ,网 络 操作 系统 的 漏洞 的 补丁 程序 安装 , Windows 2003 系统 安全 及 系统 安全 设置 ， 
Linux 操作 系统 安全 及 服务 器 的 配置 ,交换 机 、 路 由 器 的 安全 与 配置 实践 , 防 病毒 软件 
的 应 用 实例 ,木马 的 清除 方法 ,缓冲 区 溢出 攻击 实例 ,网 络 扫描 软件 应 用 实例 ,电子 邮件 
安全 策略 和 设置 ,全 面 防御 软件 等 应 用 实例 ; 去 掉 了 NetWare 系统 及 其 安全 、 网 络 备 
份 系统 、 电 子 商 务 安全 技术 和 防火 墙 的 选择 等 内 容 ; 将 第 1 版 第 7 章 (病毒 及 防治 ) 和 
第 8 章 ( 安 全 检测 和 响应 ) 合 并 为 第 7 章 “ 计 算 机 网 络 攻 防 技术 与 应 用 ”, 大 大 压缩 了 计 
算 机 病毒 的 篇 幅 ; 取消 了 原 第 10 章 , 将 其 中 的 部 分 网 络 安全 应 用 实例 安排 在 前 面 各 
章 中 。 

修订 后 全 书 共有 8 章 , 内 容 包括 计算 机 网 络 安全 概述 、 网 络 操作 系统 安全 、 计 算 机 
网 络 实体 安全 、 网 络 数 据 库 与 数据 安全 ,数据 加 密 与 鉴别 防火墙 计算 机 网 络 攻防 技术 
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与 应 用 (包括 网 络 病毒 与 防范 、 黑 客 与 网 络 攻击 、 入 侵 检 测 与 防护 系统 、 网 络 扫 描 和 网 络 监 
听 、 计 算 机 紧急 响应 ) .Internet 安全 。 

本 书 以 网 络 安 全 通常 采取 的 防护 ,检测 、 响 应 和 恢复 措施 (对 策 ) 为 主线 , 较 系统 地 介绍 
了 网 络 安全 知识 、 安 全 技术 及 其 应 用 ,重点 介绍 了 网 络 系统 的 安全 运行 和 网 络 信 息 安全 保 
护 。 通 过 对 本 书 的 学 习 , 可 使 读者 较 全 面 地 了 解 网 络 系统 安全 的 基本 概念 、 网 络 安全 技术 和 
应 用 ,增强 对 网 络 安全 工具 (软件 ) 应 用 的 认识 ,了 解 和 掌握 对 网 络 安全 保护 的 实际 操作 
技能 。 

本 书 原理 、 技 术 难 点 的 介绍 适度 ,重点 介绍 网 络 安全 的 概念 和 应 用 ,典型 实例 的 应 用 性 
和 可 操作 性 强 , 章 末 配 有 多 样 化 的 习题 ,便于 教学 和 自学 。 本 书 内 容 安排 合理 ,逻辑 性 强 , 重 
点 突出 ,文字 简明 ,通俗 易 仅 。 本 书 可 作为 高 等 院 校 计算 机 专业 、 通 信 专 业 及 相关 专业 的 本 
科 生 、 大 专 生 教材 ,也 可 作为 网 络 管理 人 员 ,网络 工程 技术 人 员 和 信息 安全 管理 人 员 以 及 对 
网 络 安全 感 兴趣 的 读者 的 参考 书 。 本 书 涉及 的 内 容 比较 广泛 ,读者 在 学 习 和 参考 时 ,可 在 内 
容 \ 重 点 和 深度 上 酌情 选取 。 

本 书 由 刘 远 生 . 辛 一 任 主编 , 薛 庆 水 、 李 建 勇 . 丛 晓 红 参 加 编写 。 薛 庆 水 审阅 了 编写 大 纲 
和 部 分 书稿 ,全 书 由 刘 远 生 定 稿 。 

在 本 书 的 修订 编写 和 申报 “十 一 五 ”国家 级 规划 教材 的 过 程 中 得 到 了 清华 大 学 出 版 社 各 
位 同志 的 大 力 支持 和 帮助 ,在 此 编者 表示 衷心 的 感谢 。 

网 络 安全 内 容 庞杂 ,技术 发 展 迅速 ,由 于 编者 水 平 有 限 ,加 之 时 间 仓 促 , 书 中 难免 存在 错 
误 或 叙述 不 当 之 处 ,希望 读者 提出 宝贵 意见 ,并 恳请 各 位 专家 、 学 者 给 予 批 评 指正 。 编 者 也 
希望 与 读者 多 交流 ,编者 的 联系 方式 (E-mail) 为 ysliu@sjtu. edu. cn。 

编者 的 另 一 本 教材 (网 络 安全 技术 与 应 用 实践 ) 也 即将 与 读者 见面 (该 书 已 于 2010 年 
8 月 出 版 ,书号 978-7-302-22619-2 ,高 校 教师 可 发 邮件 至 下 文 邮 箱 索 取样 书 )。 该 书 中 除了 
介绍 一 般 的 网 络 安全 ,数据 加 密 、 操 作 系统 安 全 .网络 攻 防 技术 及 Internet 安全 的 知识 和 实 
践 案例 外 ,还 将 介绍 网 络 设备 安全 技术 、 软 件 安全 技术 、VPN 安全 技术 和 无 线 网 安全 等 应 
用 ,希望 广大 读者 、 专 家 给 予 关注 ,并 欢迎 批评 与 建议 。 

本 书 的 配套 课件 可 以 从 清华 大 学 出 版 社 网 站 http://www. tup. tsinghua. edu. cn 下 载 。 如 
果 在 本 书 的 阅读 或 课件 的 下 载 使 用 中 遇 到 问题 ,请 联系 fuhy@tup. tsinghua. edu. cn。 
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Internet 已 成 为 全 球 规 模 最 大 、 信 息 资 源 最 丰富 的 计算 机 网 络 ,利用 它 组 成 的 企业 内 部 
专用 网 Intranet 和 企业 间 的 外 联网 Extranet, 已 经 得 到 广泛 应 用 。Internet 所 具有 的 开放 
性 ,全 球 性 、 低 成 本 和 高 效率 的 特点 也 已 成 为 电子 商务 的 内 在 特征 ,并 使 得 电子 商务 大 大 超 
越 了 作为 一 种 新 的 贸易 形式 所 具有 的 价值 。 它 不 仅 改变 了 企业 自身 的 生产 经营 和 管理 活 
动 , 而 且 将 影响 到 整个 社会 的 经 济 运行 结构 。 

电子 商务 是 以 Internet 为 基础 进行 的 商务 活动 ,是 商务 活动 的 电子 化 运用 。 它 通过 
Internet 进行 包括 政府 .商业 教育 .保健 和 娱乐 等 活动 。 与 传统 商务 相 比 ,电子 商务 在 三 方 
面 有 了 新 的 内 涵 和 突破 : 一 是 交易 的 内 容 ( 电 子 商务 信息 流 绝 大 部 分 地 取代 了 物流 和 资金 
流 ); 二 是 交易 的 场景 (电子 商务 网 络 的 虚拟 交易 取代 了 面对面 的 交易 ); 三 是 交易 的 工具 
(电子 商务 中 无 纸 化 交易 取代 了 手工 的 货币 交易 ) 。 

下 面 是 一 个 日 常 网 上 购物 (电子 商务 ?活动 的 案例 。 

一 个 持 有 信用 卡 的 消费 者 进行 网 上 购物 的 流程 如 下 : 

QO 消费 者 在 客户 机 上 浏览 商家 的 网 站 ,查看 和 浏览 在 线 商品 目录 及 性 能 等 。 

@ 消费 者 选择 中 意 的 商品 ( 放 入 购物 车 )。 

@ 消费 者 填写 订单 ,包括 项 目 列表 单价 .数量 、 金 额 \ 运 费 等 。 

@ 消费 者 选择 付款 方式 ,如 网 上 支付 。 此 时 开始 启动 安全 电子 交易 (SET) 协 议 。 

加 消费 者 通过 网 络 发 送 给 商家 一 个 完整 的 订单 和 要 求 付 款 的 请 求 。 

商家 接 到 订单 后 ,通过 支付 网 关 向 消费 者 信用 卡 的 开户 银行 请 求 支付 ; 在 银行 和 发 
卡 机 构 经 检验 确认 和 批准 交易 后 ,支付 网 关 给 商家 返回 确认 信息 。 

@ 商家 通过 网 络 给 消费 者 发 送 订 单 确认 信息 。 

@ 商家 请 求 银行 将 钱 从 消费 者 的 信用 卡 账号 中 划拨 到 商家 账号 。 

商家 为 消费 者 配送 货物 ,完成 订购 服务 。 

至 此 ,一 次 网 上 购物 过 程 结 束 。 可 以 说 该 过 程 是 简单 且 完 整 的 过 程 。 说 该 过 程 简单 ,是 
指 人 们 日 常 进行 的 网 上 购物 流程 可 包括 如 图 0. 1 所 示 的 5 个 过 程 ; 说 该 过 程 完整 ,是 指 每 
次 网 上 购物 涉及 的 这 5 个 过 程 中 每 个 过 程 都 包含 一 些 具体 操作 ,甚至 是 很 复杂 的 具体 操作 ， 


选 购 物品 


填写 订单 | 忆 > | 网 上 支付 | 商家 送 货 


客户 浏览 


图 0.1 简单 的 网 上 购物 流程 
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如 网 上 支付 过 程 就 涉及 上 述 流程 中 的 步骤 田 一 @@.。 网 上 支付 所 用 的 安全 电子 交易 协议 
SET 就 很 复杂 , 它 与 网 上 购物 涉及 的 6 个 实体 均 有 联系 ,如 图 0. 2 所 示 。 

从 上 述 网 上 购物 流程 可 见 ,SET 协议 流程 包括 很 多 步骤 ,涉及 网 上 交易 的 各 方 。 它 还 
涉及 很 复杂 的 网 络 安全 管理 和 安全 支付 问题 ,如 持 卡 人 的 数字 签名 、CA 认证 ,信息 流 的 加 
密 和 鉴别 ,数字 证 书 等 。 

由 此 可 见 , 电 子 商务 活动 需要 有 一 个 安全 的 环境 基础 ,以 保证 数据 在 网 络 中 存储 和 传 
输 的 保密 性 和 完整 性 ,实现 交易 各 方 的 身份 验证 ,防止 交易 中 抵赖 行为 的 发 生 。 电 子 商务 的 
安全 基础 是 建立 在 安全 的 网 络 基 础 之 上 的 ,这 包括 CA 安全 认证 体系 和 基本 的 安全 技术 。 
利用 安全 的 网 络 技术 来 提供 各 种 安全 服务 ,保障 电子 商务 活动 安全 、 顺 利 地 进行 。 由 此 看 
出 ,电子 商务 应 用 涉及 包括 计算 机 网 络 、 信 息 安 全 .电子 支付 和 网 络 营销 等 在 内 的 各 种 技术 ， 
其 中 电子 支付 技术 和 安全 技术 是 电子 商务 应 用 环境 中 的 关键 技术 。 


信息 浏览 、 填写 


商品 和 服务 信息 发 布 、 订单 


协议 转换 和 数据 


订单 和 支付 信息 处 理 
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处 理 、 支 付 管 理 、 货 款 结算 
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图 0.2 利用 SET 协议 的 网 上 购物 流程 


除 电 子 商 务 应 用 外 ,目前 很 多 在 Internet 和 其 他 网 络 上 的 应 用 也 都 涉及 网 络 的 信息 安 
全 技术 ,如 数据 加 密 、 身 份 鉴别 ,病毒 防 治 、 网 络 数据 库 安 全 ,访问 控制 .认证 技术 、 网 络 实体 
安全 、 人 侵 检 测 、 网 络 监听 应急 处 理 等 。 本 书 将 详细 介绍 相关 的 网 络 信 息 安全 内 容 及 其 


应 用 。 
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本 章 要 点 

。 网 络 安全 的 基本 概念 和 特征 ; 

。 网 络 的 脆弱 性 和 威胁 ; 

。 网 络 安全 体系 结构 

。 网 络 安全 措施 ; 

。 网 络 安全 级 别 ; 

。 网 络 系统 安全 的 日 常 管理 及 操作 。 

随 着 计算 机 技术 、 现 代 通 信 技 术 和 网 络 技 术 的 发 展 ,尤其 是 Internet 的 广泛 应 用 ,使 得 
计算 机 的 应 用 更 加 广泛 与 深入 ,计算 机 网 络 与 人 们 的 工作 和 生活 的 联系 也 越 来 越 密切 。 通 
过 网 络 , 人 们 可 以 与 远 在 天 涯 的 朋友 互 发 函件 ,可 以 是 不 出 户 地 浏览 世界 各 地 的 报刊 杂志 ， 
搜索 自己 所 需 的 信息 ,可 以 在 家 里 与 世界 各 个 角落 的 陌生 人 打牌 下 棋 …… 但 与 此 同时 ,人 们 
也 发 现 自己 的 计算 机 信息 系统 不 断 受到 侵害 ,其 形式 的 多 样 化 ,技术 的 先进 且 复 杂 化 , 令 人 
防不胜防 。 因 此 ,计算 机 网 络 系统 的 安全 问题 也 变 得 日 益 突出 和 复杂 。 一 方面 ,计算 机 网 络 
系统 提供 了 丰富 的 资源 以 便 用 户 共享 ; 另 一 方面 ,也 增加 了 网 络 系统 的 脆弱 性 和 网 络 安全 
的 复杂 性 ,资源 共享 增加 了 网 络 受 威胁 和 攻击 的 可 能 性 。 事 实 上 ,资源 共享 和 网 络 安全 是 一 
对 矛盾 , 随 着 资源 共享 的 加 强 , 网 络 安全 的 问题 也 日 益 突出 。 因 此 ,为 使 计算 机 网 络 系统 不 
受 破坏 ,提高 系统 的 安全 可 靠 性 已 成 为 人 们 关注 和 必须 解决 的 问题 。 每 个 计算 机 用 户 也 应 
该 掌握 一 定 的 计算 机 网 络 安全 技术 ,以 使 自己 的 信息 系统 能 够 安全 、 稳 定 地 运行 。 

网 络 安全 问题 涉及 网 络 的 组 成 、 网 络 通信 系统 、 网 络 的 层次 结构 、 网 络 协 议 、 网 络 互 连 及 
互 连 设 备 、 网 络 操作 系统 、 网 络 管理 和 网 络 服务 等 内 容 , 相 关内 容 将 在 以 后 各 章 中 做 简要 
介绍 。 


11 计算 机 网 络 安全 的 概念 


1.1.1 计算 机 网 络 的 概念 


计算 机 网 络 是 利用 通信 线路 把 多 个 计算 机 系统 和 通信 设备 相连 ,在 系统 软件 及 协议 的 
支持 下 而 形成 的 一 种 复杂 的 计算 机 系统 。 网 络 系统 使 得 在 某 地 点 的 计算 机 用 户 能 够 享用 另 
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一 地 点 的 计算 机 系统 所 提供 的 数据 处 理 功能 和 服务 ,从 而 达到 共享 资源 和 信息 传递 的 目的 。 

资源 共享 就 是 指 网 络 系统 中 的 各 计算 机 用 户 可 以 利用 网 内 其 他 计算 机 系统 中 的 全 部 或 
部 分 资源 的 过 程 。 网 络 的 基本 资源 包括 硬件 资源 、 软 件 资源 和 数据 资源 ,共享 资源 即 共享 网 
络 中 的 硬件 .软件 和 数据 库 资源 。 

计算 机 网 络 技术 是 由 现代 通信 技术 和 计算 机 技术 的 高 速 发 展 、 密 切 结合 而 产生 和 发 展 
的 ,是 20 世纪 最 伟大 的 科学 技术 成 就 之 一 。 计 算 机 网 络 的 发 展 速度 又 超过 了 世界 上 任何 一 
种 其 他 科学 技术 的 发 展 速度 。 计 算 机 技术 与 通信 技术 的 结合 , 极 大 地 开拓 了 计算 机 的 应 用 
范围 。 虽 然 各 种 计算 机 网 络 系统 的 具体 用 途 、 系 统 结构 、 信 息 传输 方式 等 各 不 相同 ,但 各 种 
网 络 系统 都 具有 一 些 共同 的 特点 ,如 可 靠 性 高 .可 扩充 性 强 、 易 于 操作 和 维护 、 效 率 高 、 成 本 
低 等 。 

从 系统 组 成 的 角度 看 ,计算 机 网 络 是 由 硬件 和 软件 两 大 部 分 组 成 的 。 计 算 机 网 络 硬件 
主要 包括 主机 、 终 端 , 用 于 信息 变换 和 信息 交换 的 通信 和 节点 设备 .通信 线路 和 网 络 互 连 设备 
(如 网 桥 、 路 由 器 \ 交 换 机 和 网 关 ) 等 。 计 算 机 网 络 软件 包括 操作 系统 软件 .协议 软件 .管理 软 
件 、 通 信 软 件 和 应 用 软件 等 。 


112 网 络 安 全 的 含义 


常见 的 有 关 计 算 机 安全 的 名 词 有 信息 安全 、 网 络 安全 ,信息 系统 安全 、 网 络 信 息 安 全 、 网 
络 信息 系统 安全 .计算 机 系统 安全 ,计算 机 信息 系统 安全 等 等 。 这 些 不 同 的 说 法 ,归根 到 底 
就 是 两 层 意思 , 即 确保 计算 机 网 络 环境 下 信息 系统 的 安全 运行 和 在 信息 系统 中 存储 、 处 理 和 
传输 的 信息 受到 安全 保护 ,这 就 是 通常 所 说 的 保证 网 络 系统 运行 的 可 靠 性 、 确 保 信息 的 保密 
人 性、 完整 性 和 可 用 性 。 

由 于 现代 的 数据 处 理 系统 都 是 建立 在 计算 机 网 络 基础 上 的 ,计算 机 网 络 安全 也 就 是 信 
息 系统 安全 。 强 调 网 络 安全 ,可 以 理解 为 由 于 计算 机 网 络 的 广泛 应 用 而 使 得 安全 问题 变 得 
尤为 突出 的 缘故 。 网 络 安全 同样 也 包括 系统 安全 运行 和 系统 信息 安全 保护 两 方面 , 即 网 络 
安全 是 对 信息 系统 的 安全 运行 和 对 运行 在 信息 系统 中 的 信息 进行 安全 保护 (包括 信息 的 保 
密 性 、 完 整 性 和 可 用 性 保护 ) 的 统称 。 信 息 系统 的 安全 运行 是 信息 系统 提供 有 效 服 务 ( 即 可 
用 性 ?的 前 提 , 信 息 的 安全 保护 主要 是 确保 数据 信息 的 保密 性 和 完整 性 。 

网 络 安全 是 指 利用 各 种 网 络 管理 .控制 和 技术 措施 ,使 网 络 系统 的 硬件 .软件 及 其 系统 
中 的 数据 资源 受到 保护 ,不 因 一 些 不 利 因素 影响 而 使 这 些 资源 遭 到 破坏 、 更 改 、 汇 露 ,保证 网 
络 系统 连续 可靠. 安全 地 运行 。 

网 络 安全 是 一 门 涉 及 计算 机 科学 、 网 络 技术 、 通 信 技 术 、 密 码 技术 信息论、 应 用 数学 , 信 
息 安 全 技术 等 的 综合 性 学 科 。 

从 不 同 的 角度 出 发 ,对 网 络 安全 的 具体 理解 也 有 不 同 。 

。 网 络 用 户 ( 个 人 ,企业 等 ) 希 望 涉及 个 人 隐私 或 商业 利益 的 信息 在 网 络 中 传输 时 受到 
保密 ,完整 和 真实 性 的 保护 ,避免 其 他 人 利用 窃听 、 冒 充 、 自 改 和 抵赖 等 手段 侵犯 或 
损坏 他 们 的 利益 ,同时 也 和 希望 避免 其 他 用 户 对 存储 用 户 信息 的 计算 机 系统 进行 非法 
访问 和 破坏 。 

。 网 络 运营 和 管理 者 希望 对 本 地 网 络 信 息 的 访问 、 读 写 等 操作 受到 保护 和 控制 ,避免 
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出 现 病 毒 ,非法 存 取 ,拒绝 服务 和 网 络 资源 的 非法 占用 及 非法 控制 等 威胁 ,防御 和 制 
止 网 络 黑客 的 攻击 。 

。 安全 保密 部 门 希望 对 非法 的 有 害 的 或 涉及 国家 机 密 的 信息 进行 过 滤 和 堵截 ,避免 
机 密 信息 泄露 ,避免 对 社会 产生 危害 ,给 国家 造成 巨大 损失 ,甚至 威胁 到 国家 安全 。 

。 社会 教育 和 意识 形态 领域 强调 必须 对 网 络 上 不 健康 的 内 容 进 行 控制 ,因为 这 些 信息 
将 对 社会 的 稳定 和 人 类 的 发 展 产 生 不 利 影响 。 

为 防范 诸如 病毒 的 破坏 、 黑 客 的 入 侵 、 计 算 机 犯罪 其 他 的 主动 或 被 动 攻 击 等 威胁 ,应 该 

采取 一 些 措施 ,以 保证 网 络 系 统 的 安全 。 


113 网 络 安全 特征 


网 络 安全 主要 涉及 系统 的 可 靠 性 、 软 件 及 数据 的 完整 性 、 可 用 性 和 保密 性 几 方面 的 问 
题 。 因 此 ,网 络 系 统 的 安全 性 可 包括 系统 的 可 靠 性 、 软 件 和 数据 的 完整 性 、 可 用 性 和 保密 性 
等 几 个 特征 。 

。 网 络 系统 的 可 靠 性 (Reliability) : 是 指 保证 网 络 系 统 不 因 各 种 因素 的 影响 而 中 断 正 
常 工作 。 
软件 及 数据 的 完整 性 (Integrity) : 是 指 保护 网 络 系统 中 存储 和 传输 的 软件 (程序 ) 及 
数据 不 被 非法 操作 , 即 保证 数据 不 被 插入 、 替 换 和 删除 ,数据 分 组 不 丢失 、 乱 序 ,数据 
库 中 的 数据 或 系统 中 的 程序 不 被 破坏 等 。 
软件 及 数据 的 可 用 性 (Availability): 是 指 在 保证 软件 和 数据 完整 性 的 同时 ,还 要 能 
使 其 被 正常 利用 和 操作 。 
软件 及 数据 的 保密 性 (Confidentiality) : 主要 是 利用 密码 技术 对 软件 和 数据 进行 加 
密 处 理 , 保 证 在 系统 中 存储 和 网 络 上 传输 的 软件 和 数据 不 被 无 关 人 员 识 别 。 


12 计算 机 网 络 面临 的 不 安全 因素 


影响 网 络 系统 安全 的 因素 很 多 ,但 不 外 乎 来 自 网 络 系统 外 部 的 威胁 ,破坏 和 来 自 系统 内 
部 的 缺陷 (脆弱 性 )。 下 面 就 网 络 系统 的 脆弱 性 和 网 络 系统 受到 的 主要 威胁 进行 探讨 。 


121 网 络 系统 的 脆弱 性 


计算 机 网 络 本 身 存 在 一 些 固有 的 弱点 (脆弱 性 ), 非 授权 用 户 利用 这 些 脆 弱 性 可 对 网 络 
系统 进行 非法 访问 ,这 种 非法 访问 会 使 系统 内 数据 的 完整 性 受到 威胁 ,也 可 能 使 信息 遭 到 破 
坏 而 不 能 继续 使 用 ,更 为 严重 的 是 有 价值 的 信息 被 窍 取 而 不 留任 何 痕迹 。 

网 络 系统 的 脆弱 性 主要 表现 为 以 下 几 方面 : 


1. 操作 系统 的 脆弱 性 


网 络 操作 系统 体系 结构 本 身 就 是 不 安全 的 ,具体 表现 为 : 
。 动态 联接 。 为 了 系统 集成 和 系统 扩充 的 需要 .操作 系统 采用 动态 联接 结构 ,系统 的 
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服务 和 1/O 操作 都 可 以 补丁 方式 进行 升级 和 动态 联接 。 这 种 方式 虽然 为 厂商 和 用 
户 提供 了 方便 ,但 同时 也 为 黑客 提供 了 入 侵 的 方便 (漏洞 ) ,这 种 动态 联接 也 是 计算 
机 病毒 产生 的 温床 。 

创建 进程 。 操 作 系 统 可 以 创建 进程 ,而 且 这 些 进程 可 在 远程 节点 上 被 创建 与 激活 ， 
更 加 严重 的 是 被 创建 的 进程 又 可 以 继续 创建 其 他 进程 。 这 样 ,车 黑客 在 远程 将 “ 间 
谍 ” 程 序 以 补丁 方式 附 在 合法 用 户 ,特别 是 超级 用 户 上 ,就 能 摆脱 系统 进程 与 作业 监 
视 程序 的 检测 。 

空 口令 和 RPC。 操 作 系统 为 维护 方便 而 预 留 的 无 口令 入 口 和 提供 的 远程 过 程 调用 
(RPC) 服 务 都 是 黑客 进入 系统 的 通道 。 

超级 用 户 。 操 作 系 统 的 另 一 个 安全 漏洞 就 是 存在 超级 用 户 , 如 果 入 侵 者 得 到 了 超级 
用 户口 令 ,整个 系统 将 完全 受 控 于 入 侵 者 。 


2. 计算 机 系统 本 身 的 脆弱 性 


计算 机 系统 的 硬件 和 软件 故障 可 影响 系统 的 正常 运行 ,严重 时 系统 会 停止 工作 。 系 统 
的 硬件 故障 通常 有 硬盘 故障 、 电 源 故障 、 芯 片 主板 故障 、 驱 动 器 故障 等 ; 系统 的 软件 故障 通 
常 有 操作 系统 故障 、 应 用 软件 故障 和 驱动 程序 故障 等 。 


3. 电磁 泄露 


计算 机 网 络 中 的 网 络 端口 ,传输 线路 和 各 种 处 理 机 都 有 可 能 因 屏 项 不 严 或 未 屏蔽 而 造 
成 电磁 信息 辐射 ,从 而 造成 有 用 信息 甚至 机 密 信息 泄露 。 


4. 数据 的 可 访问 性 


进入 系统 的 用 户 可 方便 地 复制 系统 数据 而 不 留任 何 痕迹 ; 网 络 用 户 在 一 定 的 条 件 下 ， 
可 以 访问 系统 中 的 所 有 数据 ,并 可 将 其 复制 .删除 或 破坏 掉 。 


5. 通信 系统 和 通信 协议 的 弱点 


网 络 系统 的 通信 线路 面 对 各 种 威胁 显得 非常 脆弱 ,非法 用 户 可 对 线路 进行 物理 破坏 拱 
线 窃 听 、` 通 过 未 保护 的 外 部 线路 访问 系统 内 部 信息 等 。 

通信 协议 TCP/IP 及 FTP、E-mail.NFS、WWW 等 应 用 协议 都 存在 安全 漏洞 ,如 FTP 
的 匿名 服务 浪费 系统 资源 ; E-mail 中 潜伏 着 电子 炸弹 、 病 毒 等 威胁 互联 网 安全 WWW 中 
使 用 的 通用 网 关 接 口 (CGI) 程 序 ,Java Applet 程序 和 SSI(Supplemental Security Income) 
等 都 可 能 成 为 黑客 的 工具 ; 黑客 可 采用 Sock、TCP 预测 或 远程 访问 直接 扫描 等 攻击 防 
火 墙 。 

6. 数据 库 系 统 的 脆弱 性 

由 于 数据 库 管理 系统 (DBMS) 对 数据 库 的 管理 是 建立 在 分 级 管理 的 概念 上 ,因此 ， 
DBMS 的 安全 必须 与 操作 系统 的 安全 配套 ,这 无 疑 是 一 个 先天 的 不 足 之 处 。 


黑客 通过 探访 工具 可 强行 登录 和 越权 使 用 数据 库 数 据 , 可 能 会 带 来 巨大 损失 ; 数据 加 
密 往往 与 DBMS 的 功能 发 生 冲 突 或 影响 数据 库 的 运行 效率 。 
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由 于 服务 器 /浏览 器 (B/S) 结 构 中 的 应 用 程序 直接 对 数据 库 进行 操作 ,所 以 ,使 用 B/S 
结构 的 网 络 应 用 程序 的 某 些 缺 陷 可 能 威胁 数据 库 的 安全 。 


7. 网 络 存储 介质 的 脆弱 


各 种 存储 器 中 存储 大 量 的 信息 ,这些 存 储 介 质 很 容易 被 盗窃 或 损坏 ,造成 信息 的 丢失 ; 
存储 器 中 的 信息 也 很 容易 被 复制 而 不 留 痕迹 。 
此 外 ,网 络 系统 的 脆弱 性 还 表现 为 保密 的 困难 性 、 介 质 的 剩 磁 效 应 和 信息 的 聚 生性 等 。 
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网 络 系统 面临 的 威胁 主要 来 自 外 部 的 人 为 影响 和 自然 环境 的 影响 ,它们 包括 对 网 络 设 
备 的 威胁 和 对 网 络 中 信息 的 威胁 。 这 些 威胁 的 主要 表现 有 : 非法 授权 访问 ,假冒 合法 用 户 ， 
病毒 破坏 ,线路 窃听 ,黑客 人 侵 ,干扰 系统 正常 运行 ,修改 或 删除 数据 等 。 这 些 威胁 大 致 可 分 
为 无 意 威胁 和 故意 威胁 两 大 类 。 


1. 无 意 威胁 


无 意 威胁 是 在 无 预谋 的 情况 下 破坏 系统 的 安全 性 、 可 靠 性 或 信息 的 完整 性 。 无 意 威 
胁 主要 是 由 一 些 偶然 因素 引起 ,如 软 , 硬 件 的 机 能 失常 ,人 为 误 操作 ,电源 故障 和 自然 灾 
害 等 。 

人 为 的 失误 现象 有 : 人 为 误 操 作 ,管理 不 善 而 造成 系统 信息 丢失 、 设 备 被 盗 ,发 生火 灾 、 
水 灾 ,安全 设置 不 当 而 留 下 的 安全 漏洞 ,用 户口 令 不 慎 暴 露 ,信息 资 源 共享 设置 不 当 而 被 非 
法 用 户 访问 等 。 

自然 灾害 威胁 如 地 震 、 风 暴 、 泥 石 流 、 洪 水 ,闪电 和 雷击 ` 虫 鼠 害 及 高 温 、 各 种 污染 等 构成 的 
威胁 。 


2. 故意 威胁 


故意 威胁 实际 上 就 是 “人 为 攻击 ”。 由 于 网 络 本 身 存在 脆弱 性 ,因此 总 有 某 些 人 或 某 些 
组 织 想方设法 利用 网 络 系统 达到 某 种 目的 ,如 从 事 工业 、 商 业 或 军事 情报 搜集 工作 的 “ 间 
谍 ”, 对 相应 领域 的 网 络 信息 是 最 感 兴趣 的 ,他 们 对 网 络 系统 的 安全 构成 了 主要 威胁 。 

攻击 者 对 系统 的 攻击 范围 ,可 从 随便 浏览 信息 到 使 用 特殊 技术 对 系统 进行 攻击 ,以 便 得 
到 有 针对 性 的 信息 。 这 些 攻击 又 可 分 为 被 动 攻 击 和 主动 攻击 。 

被 动 攻击 是 指 攻击 者 只 通过 监听 网 络 线路 上 的 信息 流 而 获得 信息 内 容 , 或 获得 信息 的 
长 度 、 传 输 频 率 等 特征 ,以 便 进 行 信息 流量 分 析 攻击 。 被 动 攻击 不 干扰 信息 的 正常 流动 ,如 
被 动 地 搭 线 窃听 或 非 授权 地 阅读 信息 。 被 动 攻 击破 坏 了 信息 的 保密 性 。 

主动 攻击 是 指 攻击 者 对 传输 中 的 信息 或 存储 的 信息 进行 各 种 非法 处 理 , 有 选择 地 更 改 、 
择 入、 延迟、 删除 或 复制 这 些 信息 。 主 动 攻击 常用 的 方法 有 : 自 改 程序 及 数据 假冒 合法 用 
户 入 侵 系 统 、 破 坏 软件 和 数据 中 断 系统 正常 运行 、 传 播 计算 机 病毒 , 耗 尽 系统 的 服务 资源 而 
造成 拒绝 服务 等 。 主 动 攻击 的 破坏 力 更 大 , 它 直 接 威 胁 网 络 系统 的 可 靠 性 、 信 息 的 保密 性 、 
完整 性 和 可 用 性 。 
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被 动 攻击 不 容易 被 检测 到 ,因为 它 没有 影响 信息 的 正常 传输 ,发送 和 接受 双方 均 不 容易 
觉察 。 但 被 动 攻击 却 容易 防止 ,只 要 采用 加 密 技 术 将 传输 的 信息 加 密 , 即 使 该 信息 被 窍 取 ， 
非法 接收 者 也 不 能 识别 信息 的 内 容 。 

主动 攻击 较 容易 被 检测 到 ,但 却 难于 防范 。 因 为 正常 传输 的 信息 被 自 改 或 被 伪造 ,接收 
方 根据 经 验 和 规律 能 容易 地 觉察 出 来 。 除 采用 加 密 技术 外 ,还 要 采用 鉴别 技术 和 其 他 保护 
机 制 和 措施 ,才能 有 效 地 防止 主动 攻击 。 

被 动 攻击 和 主动 攻击 有 以 下 四 种 具体 类 型 ,如 图 1. 1 所 示 。 

。 窃取 (JInterception) : 攻击 者 未 经 授权 浏览 了 信息 资源 。 这 是 对 信息 保密 性 的 威胁 ， 

例如 通过 搭 线 捕获 线路 上 传输 的 数据 等 。 

。 中 断 (Interruption): 攻击 者 中 断 正常 的 信息 传输 ,使 接收 方 收 不 到 信息 ,正常 的 信 

息 变 得 无 用 或 无 法 利用 ,这 是 对 信息 可 用 性 的 威胁 ,例如 破坏 存储 介质 、 切 断 通 信 线 
路 、 侵 犯 文件 管理 系统 等 。 
。 算 改 (Modification) : 攻击 者 未 经 授权 而 访问 了 信息 资源 ,并 算 改 了 信息 。 这 是 对 
信息 完整 性 的 威胁 ,例如 修改 文件 中 的 数据 \ 改 变 程序 功能 、 修 改 传输 的 报 文 内 
。 伪造 (Fabrication) : 攻击 者 在 系统 中 加 入 了 伪造 的 内 容 。 这 也 是 对 数据 完整 性 的 威 
胁 , 如 向 网 络 用 户 发 送 虚假 信息 ,在 文件 中 插入 伪造 的 记录 等 。 


和 
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图 1.1 四 种 攻击 类 型 
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网 络 安全 体系 结构 是 网 络 安全 层次 的 抽象 描述 。 在 大 规模 的 网 络 工程 建设 .管理 及 基 
于 网 络 安全 系统 的 设计 与 开发 过 程 中 ,需要 从 全 局 的 体系 结构 角度 考虑 安全 问题 的 整体 解 
决 方案 ,才能 保证 网 络 安全 功能 的 完备 性 和 一 致 性 ,降低 安全 代价 和 管理 开销 。 这 样 一 个 网 
络 安全 体系 结构 对 于 网 络 安全 的 设计 、 实 现 与 管理 都 有 重要 的 意义 。 

网 络 安全 是 一 个 范围 较 广 的 研究 领域 ,人 们 一 般 都 只 是 在 该 领域 中 的 一 个 小 范围 做 自 
己 的 研究 ,开发 能 够 解决 某 种 特殊 的 网 络 安全 问题 方案 。 比 如 ,有 人 专门 研究 加 密 和 鉴别 ， 
有 人 专门 研究 人 侵 和 检测 ,有 人 专门 研究 黑客 攻击 等 。 网 络 安全 体系 结构 就 是 从 系统 化 的 
角度 去 理解 这 些 安全 问题 的 解决 方案 ,对 研究 、 实 现 和 管理 网 络 安全 的 工作 具有 全 局 指导 
作用 。 
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1.3.1 网 络 安全 模型 和 框架 


1. 网络 安全 模型 

图 1.2 是 网 络 安全 的 基本 模型 。 众 所 周知 ,通信 双方 在 网 络 上 传输 信息 ,需要 先 在 发 收 
之 间 建 立 一 条 逻辑 通道 。 这 就 要 先 确定 从 发 送 端 到 接收 端的 路 由 ,再 选择 该 路 由 上 使 用 的 
通信 协议 ,如 TCP/IP。 


可 信任 
第 三 方 
如 仲裁 者 、 秘 和 布 者 
报 文 一 一 报 文 
用 户 上 -一 | 用 户 
秘密 信息 一 一 | 有 用户】 一 一 秘密 信息 
信息 转换 信息 转换 
攻击 


图 1.2 网 络 安 全 模型 


为 了 在 开放 式 的 网 络 环境 中 安全 地 传输 信息 ,需要 对 信息 提供 安全 机 制 和 安全 服务 。 
信息 的 安全 传输 包括 两 个 基本 部 分 : 一 是 对 发 送 的 信息 进行 安全 转换 ,如 信息 加 密 以 便 达 
到 信息 的 保密 性 ,附加 一 些 特征 码 以 便 进 行 发 送 者 身份 验证 等 ; 二 是 发 收 双方 共享 的 某 些 
秘密 信息 ,如 加 密 密 钥 ,除了 对 可 信任 的 第 三 方 外 ,对 其 他 用 户 是 保密 的 。 

为 了 使 信息 安全 传输 ,通常 需要 一 个 可 信任 的 第 三 方 ,其 作用 是 负责 向 通信 双方 分 发 秘 
密 信息 ,以 及 在 双方 发 生 争 议 时 进行 仲裁 。 

一 个 安全 的 网 络 通信 必须 考虑 以 下 内 容 : 

。 实现 与 安全 相关 的 信息 转换 的 规则 或 算法 。 

。 用 于 信息 转换 算法 的 秘密 信息 (如 密 钥 )。 

。 秘 密 信息 的 分 发 和 共享 。 

。 使 用 信息 转换 算法 和 秘密 信息 获取 安全 服务 所 需 的 协议 。 


2. 网 络 信息 安全 框架 


网 络 信息 安全 可 看 成 是 多 个 安全 单元 的 集合 。 其 中 ,每 个 单元 都 是 一 个 整体 ,包含 了 多 
个 特性 。 一 般 , 人 们 从 三 个 主要 特性 一 一 安全 特性 、 安 全 层次 和 系统 单元 去 理解 安全 单元 。 
该 安全 单元 集合 可 用 一 个 三 维 安全 空间 描述 ,如 图 1. 3 所 示 。 该 三 维 安全 空间 反映 了 信息 
系统 安全 需求 和 安全 结构 的 共性 。 

1) 安全 特性 

安全 特性 指 的 是 该 安全 单元 可 解决 什么 安全 威胁 。 信 息 安全 特性 包括 保密 性 、 完 整 性 、 
可 用 性 和 认证 安全 性 。 

保密 性 安全 主要 是 指 保护 信息 在 存储 和 传输 过 程 中 不 被 未 授权 的 实体 识别 。 比 如 ,网 
上 传输 的 信用 卡 账 号 和 密码 不 被 识破 。 

完整 性 安全 主要 指 信息 在 存储 和 传输 过 程 中 不 被 未 授权 的 实体 插入 、 删 除 、 自 改 和 重 发 


10 


计算 机 网 络 安全 ( 第 2 版 ) 


等 ,信息 的 内 容 不 被 改变 。 比 如 ,用 户 发 给 别人 
的 电子 邮件 ,保证 到 接收 端的 内 容 没 有 改变 。 人 和 | 全 次 
可 用 性 安全 是 指 不 能 由 于 系统 受到 攻击 而 he 

使 用 户 无 法 正常 去 访问 他 本 来 有 权 正 常 访问 的 le 


资源 。 比 如 ,保护 邮件 服务 器 安全 不 因 其 遭 到 
DoS( 拒 绝 服务 ) 攻 击 而 无 法 正常 工作 ,使 用 户 能 
正常 收发 电子 邮件 。 

认证 安全 性 就 是 通过 某 些 验证 措施 和 技术 ， 
防止 无 权 访问 菜 些 资源 的 实体 通过 某 种 特殊 手 。 系 统 单元 六 应 用 
段 进入 网 络 而 进行 访问 。 人 

2) 系统 单元 图 1.3 网 络 信息 安全 框架 

系统 单元 是 指 该 安全 单元 解决 什么 系统 环 
境 的 安全 问题 。 对 于 现代 网 络 ,系统 单元 涉及 以 下 五 个 不 同 环境 。 

。 物 理 单元 : 物理 单元 是 指 硬件 设备 、 网 络 设备 等 ,包含 该 特性 的 安全 单元 解决 物理 
环境 安全 问题 。 
网 络 单元 ; 网 络 单元 是 指 网 络 传输 ,包含 该 特性 的 安全 单元 解决 网 络 协议 造成 的 网 
络 传输 安全 问题 。 
系统 单元 : 系统 单元 是 指 操作 系统 ,包含 该 特性 的 安全 单元 解决 端 系统 或 中 间 系 统 
的 操作 系统 包含 的 安全 问题 。 一 般 是 指数 据 和 资源 在 存储 时 的 安全 问题 。 
应 用 单元 : 应 用 单元 是 指 应 用 程序 ,包含 该 特性 的 安全 单元 解决 应 用 程序 所 包含 的 
安全 问题 。 
管理 单元 : 管理 单元 是 指 网 络 安全 管理 环境 ,网 络 管理 系统 对 网 络 资源 进行 安全 
管理 。 


132 OSI 网 络 安全 体系 


OSI 参考 模型 是 国际 标准 化 组 织 (ISO) 为 解决 异种 机 互 连 而 制定 的 开放 式 计 算 机 网 络 
层次 结构 模型 。ISO 提出 OSI( 开 放 系 统 互 连 ) 参 考 模型 的 目的 ,就 是 要 使 在 各 种 终端 设备 
之 间 、 计 算 机 之 间 、 网 络 之 间 ,操作 系统 进程 之 间 以 及 人 们 之 间 互 相交 换 信息 的 过 程 , 能 够 逐 
步 实 现 标 准 化 。 参 照 这 种 参考 模型 进行 网 络 标准 化 的 结果 ,就 能 使 得 各 个 系统 之 间 都 是 “ 开 
放 ” 的 ,而 不 是 封闭 的 。OSI 参考 模型 将 计算 机 网 络 划 分 为 七 个 层次 ,分 别称 为 物理 层 数据 
链 路 层 、 网 络 层 、 传 输 层 \ 会 话 层 、 表 示 层 和 应 用 层 。 

ISO 于 1989 年 2 月 公布 的 ISO7498-2* 网 络 安全 体系 结构 ”文件 ,给 出 了 OSI 参考 模型 
的 安全 体系 结构 。 这 是 一 个 普遍 适用 的 安全 体系 结构 , 它 对 具体 网 络 的 安全 体系 结构 具有 
指导 意义 ,其 核心 内 容 是 保证 异 构 计 算 机 系统 之 间 远 距离 交换 信息 的 安全 。 

OSI 安全 体系 结构 主要 包括 网 络 安全 机 制 和 网 络 安全 服务 两 方面 的 内 容 , 并 给 出 了 
OSI 网络 层次 、 安 全 机 制 和 安全 服务 之 间 的 逻辑 关系 。 
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1. 网 络 安全 机 制 

在 ISO7498-2“ 网 络 安全 体系 结构 "文件 中 规定 的 网 络 安全 机 制 有 八 项 : 加 密 机 制 .数字 
签名 机 制 .访问 控制 机 制 .数据 完整 性 机 制 . 鉴别 交换 机 制 、 信 息 量 填充 机 制 、. 路 由 控制 机 制 
和 公证 机 制 。OSI 安全 体系 结构 .OSI 安全 服务 、 安 全 机 制 及 OSI 层次 之 间 的 关系 见 
图 1.4. 表 1.1 和 表 1.2。 


081 实 全 层次 -应 用 导 


| 一 网 络 层 
| 一 链 路 层 
广 物理 层 安全 特性 
鉴别 服务 T 下 1 
访问 控制 加 数 访 数 数 信 公 
mt 二 
名 制 束 填 制 
性 充 
图 1.4 OSI 网络 安全 体系 结构 
表 1.1 与 网 络 各 层 相关 的 OSI 安全 服务 
OSI 层次 
汪 本 要 学 昌 2 3 4 5 6 偶 
。 同等 实体 鉴别 N N Y Y N N 
0 数据 源 鉴别 N N Y 二 N N 于 
访问 控制 访问 控制 服务 N N Y 宣 N N Y 
带 恢复 功能 的 连接 完整 性 于 N N 于 N N 香 
不 带 恢复 功能 的 连接 完整 性 N N T 香 N N 至 
数据 完整 性 选择 字段 连接 完整 性 N N N N N N 于 
选择 字段 无 连接 完整 性 N N Y 至 N N Y 
无 连接 完整 性 NINININ|ININ 到 
连接 保密 性 国医 四 医 汪 医 滞 区 : 面 医 : Y 
数据 保密 性 | 无 连接 保密 性 N Y Y 于 N Y 
信息 流 保密 性 N Y N N N 到 
发 送 非 否认 下放 条 | 天 | 有 页: 六 污 
非 否认 服务 | 接受 非 否认 NINININININIY 


注 :“Y” 表 示 提 供 安 全 服务 ,“N” 表 示 不 提供 安全 服务 。 
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表 1.2 OSI 安全 服务 与 安全 机 制 的 关系 


安全 服务 数字 | 访问 | 数据 | 鉴别 | 信息 


， 同等 实体 鉴别 

鉴别 服务 | 数据 源 监 别 

访问 控制 | 访问 控制 服务 

带 恢复 功能 的 连接 完整 性 
不 带 恢复 功能 的 连接 完整 性 
数据 完整 性 | 选择 字段 连接 完整 性 
选择 字段 无 连接 完整 性 
无 连接 完整 性 

连接 保密 性 

数据 保密 性 | 无 连接 保密 性 
信息 流 保密 性 
发 送 非 否认 

接受 非 否 认 


注 :“Y” 表 示 提 供 安全 服务 ,“N” 表 示 不 提供 安全 服务 。 


1) 加 密 机 制 

数据 加 密 是 提供 信息 保密 的 主要 方法 ,可 保护 数据 存储 和 传输 的 保密 性 。 此 外 ,加 密 技 
术 与 其 他 技术 合作 ,可 保证 数据 的 完整 性 。 

2) 数字 签名 机 制 

数字 签名 可 解决 传统 手工 签名 中 存在 的 安全 缺陷 ,在 电子 商务 中 使 用 较 广 泛 。 数 字 签 
名 主要 解决 否认 问题 (发 送 方 和 否认 他 发 送 了 信息 )、 伪 造 问题 ( 某 方 伪 造 了 文件 却 不 承认 )、 冒 
充 问题 (冒充 合法 用 户 在 网 上 发 送 文件 ) 和 算 改 问题 (接收 方 私自 算 改 文件 内 容 ) 。 

3) 访问 控制 机 制 

访问 控制 机 制 可 以 控制 哪些 用 户 对 哪些 资源 可 以 进行 访问 ,对 这 些 资源 可 以 访问 到 什 
么 程度 ; 如 非法 用 户 企图 访问 资源 ,该 机 制 则 会 加 以 拒绝 ,并 将 这 一 非法 事件 记录 在 审计 报 
告 中 。 访 问 控制 可 以 直接 支持 数据 的 保密 性 、 完 整 性 .可 用 性 , 它 对 数据 的 保密 性 、 完 整 性 和 
可 用 性 所 起 的 作用 是 非常 明显 的 。 

4) 数据 完整 性 机 制 

数据 完整 性 机 制 保护 网 络 系统 中 存储 和 传输 的 软件 (程序 ) 和 数据 不 被 非法 改变 ,如 添 
加 删除、 修改 等 。 

5) 交换 鉴别 机 制 

交换 鉴别 机 制 是 通过 相互 交换 信息 来 确定 彼此 的 身份 。 在 计算 机 中 ,鉴别 主要 有 站 点 
鉴别 、 报 文 鉴别 ,用户 和 进程 的 认证 等 ,通常 采用 口令 、 密 码 技术 .实体 的 特征 或 所 有 权 等 手 
段 进行 鉴别 。 

6) 信息 量 填充 机 制 

攻击 者 将 对 传输 信息 的 长 度 .频率 等 特征 进行 统计 ,以 便 进行 信息 流量 分 析 , 从 中 可 得 
到 其 有 用 的 信息 。 采 用 信息 量 填充 机 制 ,可 保持 系统 信息 量 基 本 恒定 ,因此 能 防止 攻击 者 对 
系统 进行 信息 流量 分 析 。 


非 否认 服务 


乙 ZI<<<< ZK 和 里 对 


zizlzlzlzlzlzlzzzl<zlz| 


沪 回 
Zz“< “2z2z2222227 


<j<|zizlzizizlzlzlzlzizll 悄 


xixlzlzizi<xi<x|zlzizlzixix 
“i<xizizlzi<i<i<x xxlz 
兄 | 吕 | 冲 吕 | 品 | 吕 | 吕 | 吕 | 吕 | 吕 | 宪 | 吕 | 周 
史 | 呈 || 吕 | 骂 | 骂 | 吕 | 吕 | 吕 | 吕 | 名 
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7) 路 由 控制 机 制 

路 由 控制 机 制 可 以 指定 通过 网 络 发 送 数据 的 路 径 ,因此 ,采用 该 机 制 可 以 选择 那些 可 信 
度 高 的 节点 传输 信息 。 

8) 公证 机 制 

公证 机 制 就 是 在 网 络 中 设立 一 个 公证 机 构 ,来 中 转 各 方 交 换 的 信息 ,并 从 中 提取 相关 证 
据 ,以 便 对 可 能 发 生 的 纠纷 做 出 仲裁 。 


2. 网 络 安全 服务 


在 文件 中 规定 的 网 络 安全 服务 有 五 项 : 鉴别 服务 .访问 控制 服务 .数据 完整 性 服务 、 数 
据 保密 性 服务 和 非 否 认 服 务 。 

1) 鉴别 服务 

鉴别 服务 包括 同等 实体 鉴别 和 数据 源 鉴 别 两 种 服务 。 

使 用 同等 实体 鉴别 服务 可 以 对 两 个 同等 实体 (用 户 或 进程 ) 在 建立 连接 和 开始 传输 数据 
时 进行 身份 的 合法 性 和 真实 性 验证 ,以 防止 非法 用 户 的 假冒 ,也 可 防止 非法 用 户 伪造 连接 初 
始 化 攻击 。 

数据 源 鉴别 服务 可 对 信息 源 点 进行 鉴别 ,可 确保 数据 是 由 合法 用 户 发 出 ,以 防 假冒 。 

2) 访问 控制 服务 

访问 控制 包括 身份 验证 和 权限 验证 。 访 问 控制 服务 防止 未 授权 用 户 非法 访问 网 络 资 
源 ,也 防止 合法 用 户 越权 访问 网 络 资源 。 

3) 数据 完整 性 服务 

数据 完整 性 服务 防止 非法 用 户 对 正常 数据 的 变更 ,如 修改 .插入 、 延 时 或 删除 ,以 及 在 数 
据 交 换 过 程 中 的 数据 丢失 。 数 据 完整 性 服务 可 分 为 以 下 5 种 情形 ,通过 这 些 服务 来 满足 不 
同 用 户 .不同 场合 对 数据 完整 性 的 要 求 : 
带 恢复 功能 的 面向 连接 的 数据 完整 性 。 

。 不 带 恢 复 功 能 的 面向 连接 的 数据 完整 性 。 

。 选择 字段 面向 连接 的 数据 完整 性 。 

。 选择 字段 无 连接 的 数据 完整 性 。 

。 无 连接 的 数据 完整 性 。 

4) 数据 保密 性 服务 

采用 数据 保密 性 服务 的 目的 是 保护 网 络 中 各 通信 实体 之 间 交 换 的 数据 ,即使 被 非法 攻 
击 者 截获 ,也 使 其 无 法 解读 信息 内 容 , 以 保证 信息 不 失 密 。 该 服务 也 提供 面向 连接 和 无 连接 
两 种 数据 保密 方式 。 保 密 性 服务 还 提供 给 用 户 可 选 字段 的 数据 保护 和 信息 流 安全 , 即 对 可 
能 从 观察 信息 流 就 能 推导 出 的 信息 提供 保护 。 信 息 流 安全 的 目的 是 确保 信息 从 源 点 到 目的 
点 的 整个 流通 过 程 的 安全 。 

5) 非 否 认 服 务 

非 否 认 服 务 可 防止 发 送 方 发 送 数 据 后 否认 自己 发 送 过 数据 ,也 可 防止 接收 方 接收 数据 
后 否认 已 接收 过 数据 。 它 由 两 种 服务 组 成 : 一 是 发 送 ( 源 点 ) 非 否认 服务 ; 二 是 接收 (交付 ) 
非 否 认 服 务 。 这 实际 上 是 一 种 数字 签名 服务 。 
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133 ” P2DR 模 型 


一 个 常用 的 网 络 安全 模型 是 P2DR 模型 ,如 图 1. 5 所 示 。P2DR 模型 包含 四 个 主要 部 
分 : Policy( 安 全 策略 ) 、Protection( 防 护 )、Detection( 检 测 ) 和 Response (响应 )。 防 护 .检测 
和 响应 组 成 了 一 个 所 谓 的 “完整 ,动态 ”的 安全 循环 。 在 整体 安 
全 策略 的 控制 和 指导 下 ,在 综合 运用 防护 工具 (如 防火 墙 、 身份 
认证 ,加密 等 手段 ) 的 同时 ,利用 检测 工具 (如 漏洞 评估 .入 侵 检 策略 
测 等 系统 ) 了 解 和 评估 系统 的 安全 状态 ,通过 适当 的 反应 将 系统 Policy 
调整 到 “最 安全 ”和 “风险 最 低 ” 的 状态 。P2DR 是 由 PDR 
(Protection、Detection、Response) 模 型 引申 出 的 概念 模型 ,增加 
了 Policy 功能 ,并 突出 了 管理 策略 在 信息 安全 工程 中 的 主导 地 
位 。 该 模型 指出 : 安全 技术 措施 是 围绕 安全 策略 的 具体 需求 有 图 1.5 ”P2DR 模型 示意 图 
序 地 组 织 在 一 起 ,构架 一 个 “动态 ”的 安全 防范 体系 。 

P2DR 模型 有 自己 的 理论 体系 ,有 数学 模型 作为 其 论述 基础 : 基于 时 间 的 安全 理论 
(Time Based Security) 。 该 理论 的 最 基本 原理 认为 ,与 信息 安全 相关 的 所 有 活动 ,不 管 是 攻 
击 行为 、 防 护 行为 .检测 行为 和 响应 行为 等 都 要 消耗 时 间 。 因 此 可 以 用 时 间 来 衡量 一 个 体系 
的 安全 性 和 安全 能 力 。 

P2DR 模型 是 可 适应 网 络 安全 理论 或 称 为 动态 信息 安全 理论 的 主要 模型 。P2DR 模型 
是 TCSEC 模型 的 发 展 ,也 是 目前 被 普遍 采用 的 安全 模型 。 安 全 策略 是 整个 网 络 安全 的 依 
据 。 不 同 的 网 络 需要 不 同 的 策略 ,在 制定 策略 前 ,需要 全 面 考虑 局 域 网 中 如 何在 网 络 层 实现 
安全 性 ,如 何 控制 远程 用 户 访问 的 安全 性 ,在 广域网 上 的 数据 实现 安全 保密 传输 和 用 户 认证 
等 问题 。 对 这 些 问题 做 出 详细 回答 .并 确定 相应 的 防护 手段 和 实施 办 法 ,就 是 针对 网 络 系统 
的 一 份 完整 的 安全 策略 。 策 略 一 旦 制订 ,应 当 作为 整个 网 络 系统 安全 行为 的 准则 。 围 绕 着 
P2DR 模型 的 思想 建立 一 个 完整 的 信息 安全 体系 框架 。 


1. Policy( 安 全 策略 ) 


我 们 在 考虑 建立 网 络 安全 系统 时 ,在 了 解 了 网 络 信息 安全 系统 等 级 划分 和 评估 网 络 安 
全 风险 后 ,一 个 重要 的 任务 就 是 要 制订 一 个 网 络 安全 策略 。 一 个 策略 体系 的 建立 包括 : 安 
全 策略 的 制订 、 安 全 策略 的 评估 ,安全 策略 的 执行 等 。 网 络 安全 策略 一 般 包 括 两 部 分 : 总 体 
的 安全 策略 和 具体 的 安全 规则 。 总 体 的 安全 策略 用 于 阑 述 本 部 门 的 网 络 安全 的 总 体 思 想 和 
指导 方针 ; 而 具体 的 安全 规则 是 根据 总 体 安 全 策略 提出 的 具体 的 网 络 安全 实施 规则 , 它 用 
于 说 明 网 络 上 什么 活动 是 被 允许 的 ,什么 活动 是 被 禁止 的 。 由 于 安全 策略 是 安全 管理 的 核 
心 , 所 以 要 想 实施 动态 网 络 安全 循环 过 程 ,必须 制定 网 络 系统 的 安全 策略 ,所 有 的 防护 、 检 
测 、 响 应 都 是 依据 安全 策略 实施 的 ,网 络 系统 安全 策略 为 安全 管理 提供 管理 方向 和 支持 
手段 。 


2. Protection( 防 护 ) 


防护 就 是 根据 系统 可 能 出 现 的 安全 问题 采取 一 些 预防 措施 ,是 通过 一 些 传统 的 静态 安 
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全 技术 及 方法 来 实现 的 。 通 常 采用 的 主动 防护 技术 有 : 数据 加 密 、 身 份 验 证 ,访问 控制 \ 授 
权 和 虚拟 网 络 (VPN) 技 术 ; 被 动 防护 技术 有 : 防火 墙 技术 安全 扫描 、 入 侵 检 测 、 路 由 过 滤 、 
数据 备份 和 归档 、 物 理 安全 ,安全 管理 等 。 

防护 是 P2DR 模型 中 最 重要 的 部 分 ,通过 它 可 以 预防 大 多 数 的 入 侵 事 件 。 防 护 可 分 为 
三 类 : 系统 安全 防护 、 网 络 安全 防护 和 信息 安全 防护 。 系 统 安全 防护 指 操 作 系 统 的 安全 防 
护 , 即 各 个 操作 系统 的 安全 配置 使 用 和 打 补 丁 等 ,不 同 操作 系统 有 不 同 的 防护 措施 和 相应 
的 安全 工具 。 网 络 安全 防护 指 网 络 管理 的 安全 及 网 络 传输 的 安全 。 信 息 安 全 防护 指数 据 本 
身 的 保密 性 、 完 整 性 和 可 用 性 ,数据 加 密 就 是 信息 安全 防护 的 重要 技术 。 


3. Detection( 检 测 ) 


攻击 者 如 果 穿 过 防护 系统 ,检测 系统 就 会 将 其 检测 出 来 。 如 检测 入 侵 者 的 身份 ,包括 攻 
击 源 、 系 统 损 失 等 。 防 护 系统 可 以 阻止 大 多 数 的 入 侵 事 件 , 但 不 能 阻止 所 有 的 入 侵 事 件 , 特 
别 是 那些 利用 新 的 系统 缺陷 、 新 攻击 手段 的 入侵 。 如 果 入 侵 事 件 发 生 ,就 要 启动 检测 系统 进 
行 检测 。 

检测 与 防护 有 根本 的 区 别 。 防 护 主 要 是 修补 系统 和 网 络 缺 陷 , 增 加 系统 安全 性 能 ,从 而 
消除 攻击 和 和 人 侵 的 条 件 ,避免 攻击 的 发 生 ; 而 检测 是 根据 入 侵 事 件 的 特征 进行 的 。 因 黑客 
往往 是 利用 网 络 和 系统 缺陷 进行 攻击 的 ,因此 ,入 侵 事 件 的 特征 一 般 与 系统 缺陷 特征 有 关 。 
在 P2DR 模型 中 ,防护 和 检测 有 互补 关系 。 如 果 防 护 系 统 过 硬 , 绝 大 部 分 人 侵 事件 被 阻止， 
那么 检测 系统 的 任务 就 减少 了 。 

检测 是 动态 响应 的 依据 ,也 是 强制 落实 安全 策略 的 有 力 工具 ,通过 不 断 地 检测 和 监控 网 
络 系统 来 发 现 新 的 威胁 和 弱点 ,通过 循环 反馈 来 及 时 做 出 有 效 的 响应 。 


4. Response( 响 应 ) 


系统 一 旦 检测 出 入 侵 , 响 应 系统 则 开始 响应 ,进行 事件 处 理 。P2DR 中 的 响应 就 是 在 已 
知人 侵 事 件 发 生 后 进行 的 紧急 响应 (事件 处 理 )。 响 应 工作 可 由 特殊 部 门 一 一 计算 机 紧急 响 
应 小 组 负责 。 世界 上 第 一 个 计算 机 紧急 响应 小 组 简称 CERT (Computer Emergency 
Response Team) ,我 国 的 第 一 个 计算 机 紧急 响应 小 组 是 中 国教 育 与 科研 计算 机 网 络 建立 
的 ,简称 "CCERT”。 不 同 机 构 的 网 络 系统 也 有 相应 的 计算 机 紧急 响应 小 组 。 

响应 的 主要 工作 可 分 为 两 种 : 紧急 响应 和 恢复 处 理 。 紧 急 响 应 就 是 当 安全 事件 发 生 时 
采取 的 应 对 措施 ; 恢复 处 理 是 指 事件 发 生 后 ,把 系统 恢复 到 原来 状态 或 比 原来 更 安全 的 

紧急 响应 在 安全 系统 中 占有 重要 的 地 位 ,是 解决 潜在 安全 性 最 有 效 的 办 法 。 从 某 种 意 
义 上 讲 , 安 全 问题 就 是 要 解决 紧急 响应 和 异常 处 理 问题 。 要 解决 好 紧急 响应 问题 ,就 要 制订 
好 紧急 响应 方案 ,做 好 紧急 响应 方案 中 的 一 切 准 备 工 作 。 

恢复 包括 系统 恢复 和 信息 恢复 两 方面 内 容 。 系 统 恢复 是 指 修补 缺陷 和 消除 后 门 , 不 让 
黑客 再 利用 这 些 缺 陷 人 侵 系统 。 消 除 后 门 是 系统 恢复 的 一 项 重要 工作 。 一 般 说 来 ,黑客 第 
一 次 入 侵 是 利用 系统 缺陷 ,在 入 侵 成 功 后 ,黑客 就 在 系统 中 留 下 一 些 后 门 ,如 安装 木马 程序 ， 
因此 尽管 缺陷 被 补丁 修复 ,黑客 还 可 再 通过 他 留 下 的 后 门人 侵 系统 。 信 息 恢 复 是 指 恢复 丢 
失 的 数据 。 丢 失 数 据 可 能 是 由 于 黑客 人 侵 所 致 ,也 可 能 是 系统 故障 .自然 灾害 等 原因 所 致 。 
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P2DR 安全 模型 也 存在 一 个 明显 的 弱点 ,就 是 忽略 了 内 在 的 变化 因素 。 如 人 员 的 流动 、 
人 员 的 素质 差异 和 策略 贯彻 的 不 稳定 性 。 实 际 上 ,安全 问题 牵涉 面 广 ,除了 涉及 到 防护 、 检 
测 和 响应 ,系统 本 身 安全 的 “免疫 力 ” 的 增强 、 系 统 和 整个 网 络 的 优化 ,以 及 人 员 素 质 的 提升 ， 
都 是 该 安全 模型 没有 考虑 到 的 问题 。 


14 计算 机 网 络 安全 措施 


可 采取 相应 的 网 络 安全 措施 来 实施 上 述 网 络 的 安全 策略 。 实 现 网 络 安全 ,不 但 要 靠 法 
律 的 约束 安全 的 管理 和 教育 ,更 重要 的 是 要 靠 先 进 的 网 络 安全 技术 支持 。 

先进 的 网 络 安全 技术 是 网 络 安全 的 根本 保证 。 用 户 对 自身 面临 的 威胁 进行 风险 评估 ， 
决定 其 所 需要 的 安全 服务 种 类 ,选择 相应 的 安全 机 制 ,再 集成 先进 的 安全 技术 ,就 形成 一 个 
可 信赖 的 安全 系统 。 一 般 采 用 以 下 几 个 层次 的 安全 措施 来 保证 计算 机 网 络 的 安全 。 


14.1 安全 立法 


计算 机 犯罪 是 一 种 高 技术 犯罪 活动 ,也 是 未 来 社会 的 主要 犯罪 形式 之 一 ,因此 , 面 对 日 
益 严重 的 计算 机 犯罪 ,必须 建立 相关 的 法 律 .法规 进行 约束 。 通 过 建立 国际 ` 国 内 和 地 方 计 
算 机 信息 安全 法 来 减少 计算 机 犯罪 案 ( 如 盗窃 网 络 设施 ,非法 侵入 网 络 来 破坏 和 盗窃 信息 资 
源 故意 制造 病毒 破坏 网 络 系统 等 ) 的 发 生 。 由 于 法 律 具 有 强制 性 ` 规 范 性 .公正 性 、 威 慑 性 
和 权威 性 ,因此 它 在 很 多 方面 具有 不 可 替代 的 作用 。 制 定 并 实施 计算 机 信息 安全 法 律 , 加 强 
对 计算 机 网 络 安全 的 宏观 控制 ,对 危害 计算 机 网 络 安全 的 行为 进行 制裁 ,为 网 络 信息 系统 提 
供 一 个 良好 的 社会 环境 是 十 分 必要 的 。 


1. 国外 的 计算 机 信息 安全 立法 


在 国际 上 ,由 于 发 达 国 家 的 计算 机 应 用 已 非常 普及 ,因此 ,其 计算 机 安全 立法 工作 也 早 
已 进行 。 不 同形 式 的 法 律 ,如 (计算 机 安全 法 》《 信 息 自 由 法 》《 伪 造访 问 设备 和 计算 机 欺骗 
与 滥用 法 》《 数 据 保护 法 》《 计 算 机 犯罪 法 》《 计 算 机 软件 保护 法 》《 电 子 资金 转账 法 》《 保 
密 法 》《 个 人 隐私 法 ) 等 均 已 出 台 , 一 些 国家 还 将 计算 机 犯罪 与 刑法 、 民 法 联系 在 一 起 ,修改 
有 关 条 款 ,颁布 实 施 , 收 到 了 较 好 的 效果 。 


2. 我 国 的 计算 机 信息 安全 立法 


我 国 的 计算 机 信息 安全 立法 模式 ,基本 上 属于 “渗透 型 ”, 国 家 未 制定 统一 的 计算 机 信息 
安全 法 ,而 是 将 涉及 信息 安全 的 法 律 规范 渗透 和 融入 相关 法 律 \ 行 政法 规 、 部 门 规章 和 地 方 
法 规 中 ,初步 形成 了 由 不 同 法 律 效力 层 构成 的 计算 机 信息 安全 法 律 规范 体系 。 

我 国信 息 安全 立法 有 四 个 层次 : 一 是 由 全 国人 大 常委 会 通过 的 法 律 , 除 警察 法 .刑法 、 
保守 国家 秘密 法 外 ,涉及 计算 机 信息 安全 的 法 律 还 有 《全 国人 大 常委 会 关于 维护 互联 网 安全 
的 决定 ) 等 ; 二 是 国务 院 为 执行 宪法 和 法 律 而 制定 的 行政 法 规 ,主要 有 《中 华人 民 共 和 国 计 
算 机 信息 系统 安全 保护 条 例 》《 计 算 机 信息 网 络 国际 联网 安全 保护 管理 办 法 》 和 《互联 网 上 
网 服务 营业 场所 管理 条 例 ) 等 ; 三 是 国务 院 各 部 委 根 据 法 律 和 行政 法 规 在 本 部 门 权 限 范围 
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内 制定 的 规章 及 规范 性 文件 ,主要 有 《计算 机 病毒 防治 管理 办 法 》《 互 联网 电子 公告 服务 管 
理 规 定 》《 国 际 互联 网 出 入 信道 管理 办 法 》《 中 国 互 联网 络 域名 注册 实施 细则 》《 互 联网 信 
息 服 务 管理 办 法 ) 等 ; 四 是 各 省 市 自治 区 制定 的 地 方 性 法 规 ,如 《 X X 省 计算 机 信息 系统 安 
全 保护 管理 规定 ) 等 。 

我 国 缔约 或 参加 的 有 关 计 算 机 及 网 络 信息 的 国际 公约 有 :《 建 立 世界 知识 产权 组 织 公 
约 》《 保 护 文化 艺术 作品 的 伯尔尼 公约 》《 世 界 版 权 公约 》《 与 贸易 有 关 的 知识 产权 (包括 假 
冒 商品 贸易 ) 协 议 ) 等 。 


142 安全 管理 


各 计算 机 网 络 使 用 机 构 ,企业 或 单位 ,应 建立 相应 的 网 络 安全 管理 制度 ,加 强 内 部 管理 ， 
建立 合适 的 网 络 安全 管理 系统 ,建立 安全 审计 和 跟踪 机 制 ,提高 整体 网 络 的 安全 体系 。 
网 络 安全 管理 措施 包括 建立 健全 安全 管理 机 构 \ 行 政 人 事 管理 和 系统 安全 管理 制度 等 。 


1. 安全 管理 机 构 


为 保证 计算 机 网 络 系 统 的 安全 运行 ,网 络 系统 的 使 用 单位 应 当成 立 计 算 机 安全 管理 机 
构 , 设 立 专 职 安全 人 员 。 这 些 安全 人 员 包 括 安全 管理 、 安 全 审计 、 系 统 分 析 、 软 硬件 管理 、 通 
信 及 保安 人 员 等 。 

网 络 安全 管理 机 构 的 设置 与 系统 的 规模 直接 相关 。 若 是 一 个 庞大 系统 , 且 终 端 客户 遍 
布 世界 各 地 , 则 在 每 个 区 域内 都 应 有 一 个 这 样 的 管理 机 构 。 所 以 ,一 个 网 络 系统 设置 多 少 安 
全 管理 机 构 是 不 定 的 ,但 机 构 中 各 有 关 方面 人 员 的 职责 是 固定 的 。 


2. 安全 行政 人 事 管 理 


对 计算 机 网 络 信息 系统 的 大 部 分 威胁 都 来 自 人 为 因素 。 因 此 ,无 论 系 统 如 何 自动 化 ,总 
是 由 人 设计 和 操作 使 用 的 。 而 人 本 身 是 很 复杂 的 ,是 有 感情 的 , 受 自身 生理 和 心理 因素 的 影 
响 和 制约 ,有 时 为 了 达到 某 种 目的 而 不 惜 逛 而 走 险 , 利 用 计算 机 系统 进行 犯罪 活动 。 据 研究 
表明 ,从 事 计 算 机 职业 犯罪 的 人 员 中 ,70% 是 信息 系统 运行 和 管理 人 员 。 因 此 ,对 信息 系统 
的 运行 和 管理 人 员 进 行 教育 .奖惩 .培养 和 训练 ,加 强行 政和 人 事 管理 ,保证 网 络 信息 安全 和 
保密 是 非常 必要 的 。 

行政 人 事 管理 的 职责 是 : 制定 严格 的 人 事 管理 岗位 分 工 \ 奖 惩 分 明和 责任 追究 等 规章 
制度 ,使 网 络 系统 工作 人 员 做 到 各 司 其 职 、 各 负 其 责 、 互 相 监 督 和 制约 ,保证 系统 安全 运行 。 


3. 系统 安全 管理 


一 般 来 说 ,网 络 系统 的 安全 管理 主要 是 确定 安全 管理 原则 和 相应 的 安全 管理 制度 。 网 
络 系统 安全 管理 机 构 应 根据 多 人 负责 制 .职责 分 离 、 任 期 有 限 和 最 小 权限 等 原则 ,制定 相应 
的 管理 制度 或 规范 。 

首先 ,确定 网 络 系统 的 安全 等 级 ,根据 系统 的 安全 等 级 ,确定 系统 的 安全 管理 范围 。 对 
安全 等 级 要 求 较 高 的 系统 ,要 进行 分 区 控制 ,限制 工作 人 员 出 人 与 已 无关 的 区 域 ; 人 员 的 出 
入 管理 可 采用 身份 证 件 识别 ,或 安装 自动 识别 登记 系统 ,采用 磁卡 、 身 份 卡 等 手段 对 出 入 人 
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员 进 行 识 别 和 登记 。 

其 次 ,制定 安全 管理 制度 ,如 制定 计算 机 机 房 安 全 管理 制度 ` 机 房 设备 和 数据 管理 制 
度 等 。 

此 外 ,还 要 有 对 操作 系统 和 数据 库 的 访问 的 监控 措施 ,制定 严格 的 操作 规程 ,制定 完备 
的 系统 维护 制度 ,制定 计算 机 网 络 系统 的 灾害 处 理 对 策 ,灾难 恢复 计划 和 具体 恢复 措施 等 。 


143 实体 安全 技术 


网 络 实体 安全 保护 就 是 指 采取 一 定 措施 对 网 络 的 硬件 系统 、 数 据 和 软件 系统 等 实体 进 
行 保护 和 对 自然 与 人 为 灾害 进行 防御 。 

对 网 络 硬件 的 安全 保护 包括 对 网 络 机 房 和 环境 的 安全 保护 、 网 络 设备 设施 (如 通信 电缆 
等 ) 的 安全 保护 、 信 息 存 储 介 质 的 安全 保护 和 电磁 辐射 的 安全 保护 等 。 

对 网 络 数据 和 软件 的 安全 保护 包括 对 网 络 操作 系统 、 网 络 应 用 软件 和 网 络 数据 库 数据 
的 安全 保护 。 

对 自然 与 人 为 灾害 的 防御 包括 对 网 络 系 统 环境 采取 防火 、 防 水 、 防 雷电 、 防 电磁 干扰 , 防 
振动 以 及 防风 暴 、 防 地 震 等 措施 。 

对 网 络 硬 件 的 安全 保护 、 对 自然 与 人 为 灾害 的 防御 的 详细 内 容 见 第 3 章 , 对 操作 系统 、 
网 络 数据 和 软件 的 安全 保护 详 见 第 2 章 和 第 4 章 。 


144 访问 控制 技术 


访问 控制 就 是 规定 哪些 用 户 可 访问 网 络 系统 ,对 要 求 入 网 的 用 户 进行 身份 验证 和 确认 ， 
这 些 用 户 能 访问 系统 的 哪些 资源 ,他 们 对 于 这 些 资源 能 使 用 到 什么 程度 等 问题 。 访 问 控制 
的 基本 任务 就 是 保证 网 络 系统 中 所 有 的 访问 操作 都 是 经 过 认可 的 、 合 法 的 ,防止 非法 用 户 进 
和 网络 和 合法 用 户 对 网 络 系统 资源 的 非 授权 访问 。 

访问 控制 措施 通常 采用 设置 口令 和 入 网 限制 ,采取 CA 认证 、 数 字 证 书 、 数 字 签 名 等 技 
术 对 用 户 身 份 进行 验证 和 确认 ,规定 不 同 软件 及 数据 资源 的 属性 和 访问 权限 ,进行 网 络 监 
视 , 设 置 网 络 审计 和 跟踪 ,使 用 防火 墙 系统 .人 侵 检测 和 防护 系统 等 方法 实现 。 

与 网 络 访问 控制 有 关 的 内 容 详 见 第 2.6、7 章 和 第 5.7 节 。 


145 数据 保密 技术 


数据 加 密 保 护 就 是 采取 一 定 的 技术 和 措施 ,对 网 络 系统 中 存储 的 数据 和 在 线路 上 传 
输 的 数据 进行 变换 (加 密 ) ,使 得 变换 后 的 数据 不 能 被 无 关 的 用 户 识别 ,保证 数据 的 保 

数据 加 密 保护 通常 是 采用 密码 技术 对 信息 (数据 和 程序 ) 进 行 加 密 、 数 字 答 名、 用户 验 证 
和 非 否 认 鉴 别 等 措施 实现 。 

数据 加 密 技 术 的 详细 内 容 见 第 5 章 。 
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15 计算 机 网 络 的 安全 级 别 
1.5.1 可 信 计 算 机 标准 评价 准则 


1983 年 美国 国防 部 发 表 的 《可 信 计 算 机 标准 评价 准则 》( 简 称 为 TCSEC) 把 计算 机 安全 
等 级 分 为 4 类 7 级。 根据 安全 性 从 低 到 高 的 级 别 , 依 次 为 D.Cl1、C2、B1、B2、B3、A 级 ,每 级 
包括 它 下 级 的 所 有 特性 , 见 表 1. 3。 
表 1.3 TCSEC 


级 别 名 称 特 人 征 


形式 化 的 最 高 级 描述 和 验证 ,形式 化 的 隐蔽 通道 分 析 , 非 形 
式 化 的 代码 一 致 性 证 明 


A 验证 设计 安全 级 


丽 | 安全 城 级 安全 内 核 \ 高 抗 滩 透 能 力 

面向 安全 的 体系 结构 ,遵循 最 小 授权 原则 ,有 较 好 的 抗 渗透 

B2 | 结构 化 安全 保护 级 能 力 ,对 所 有 的 主体 和 客体 提供 访问 控制 保护 ,对 系统 进行 
隐蔽 通道 分 析 

在 C2 安全 级 上 增加 安全 策 赂 模型 \ 数 据 标记 (安全 和 局 

| 性 ) .托管 访问 控制 

C2 | 访问 控制 环境 保护 级 访问 控制 ,以 用 户 为 单位 进行 广泛 的 审计 

本 有 选择 的 访问 控制 .用户 与 数据 分 高 数据 以 用 户 组 为 单位 
进行 保护 

D | 最 低 安 全 保护 级 保护 措施 很 少 ,没有 安全 功能 


DD 级 (最 低 安全 级 ) : 该 级 不 设置 任何 安全 保护 措施 , 软 硬 件 都 容易 被 侵袭 。MS-DOS、 
Windows 95/98 等 系统 属于 该 级 。 

Cl 级 (选择 性 安全 保护 级 ): Cl 级 对 硬件 采取 简单 的 安全 措施 (比如 加 锁 ), 用 户 要 有 
登录 认证 和 访问 权限 限制 ,但 不 能 控制 已 登录 用 户 的 访问 级 别 。 早 期 的 UNIX/Xenix、 
NetWare 3.0 以 下 版 本 系统 均 属于 该 级 。 

C2 级 (访问 控制 环境 级 ) : C2 级 比 C1 级 增加 了 系统 审计 、 跟 踪 记 录 、 安 全 事件 等 特性 。 
UNIX/Xenix、NetWare 3. x 及 以 上 版 本 、Windows NT 等 系统 属于 该 级 。 该 级 也 是 保证 敏 
感 信息 安全 的 最 低级 。 

Bl 级 (标记 安全 保护 级 ): Bl 级 的 系统 安全 措施 支持 多 级 (网 络 、 应 用 程序 和 工作 站 
等 ) 安 全 。“label”( 标 记 ) 是 指 网 上 的 一 个 对 象 , 该 对 象 在 安全 保护 计划 中 是 可 识别 且 受 保 
护 的 。 该 级 别 是 支持 秘密 、 绝 密 信息 保护 的 第 一 个 级 别 。B1 级 系统 拥有 者 主要 为 政府 机 构 
和 防御 承包 商 。 

B2 级 (结构 化 安全 保护 级 ): B2 级 要 求 系统 中 所 有 对 象 都 加 标记 ,并 给 各 设备 分 配 安 
全 级 别 , 如 允许 用 户 访问 一 台 工 作 站 , 却 不 允许 访问 含有 特定 资料 的 磁盘 子 系统 。 

B3 级 (安全 域 级 ) : B3 级 要 求 用 户 工作 站 或 终端 通过 可 信任 途径 连接 网 络 系统 。 该 级 
还 采用 硬件 来 保护 安全 系统 的 存储 区 。 

A 级 (验证 设计 安全 级 ): A 级 是 最 高 安全 级 ,包含 了 低级 别 所 有 的 特性 。A 级 包括 一 
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个 严格 的 设计 、 控 制 和 验证 过 程 。 设 计 必 须 是 从 数学 角度 经 过 验证 的 , 且 必 须 进行 隐 项 通道 
和 可 信任 分 析 。 


152 计算 机 信息 安全 保护 等 级 划分 准则 


我 国 于 2001 年 1 月 1 日 起 实施 的 (计算 机 信息 系统 安全 保护 等 级 划分 准则 ) 将 计算 机 
安全 保护 等 级 划分 为 五 个 级 别 。 

第 一 级 叫 用 户 自 主 保护 级 。 该 级 使 用 户 具 备 自主 安全 保护 能 力 ,保护 用 户 和 用 户 组 信 
息 , 避 免 被 其 他 用 户 非法 读 写 和 破坏 。 

第 二 级 叫 系统 审计 保护 级 。 它 具备 第 一 级 的 保护 能 力 ,并 创建 和 维护 访问 审计 跟踪 记 
录 , 以 记录 与 系统 安全 相关 事件 发 生 的 日 期 时间、 用 户 及 事件 类 型 等 信息 ,使 所 有 用 户 对 自 
己 的 行为 负责 。 

第 三 级 叫 安全 标记 保护 级 。 它 具备 第 二 级 的 保护 能 力 , 并 为 访问 者 和 访问 对 象 指定 安 
全 标记 ,以 访问 对 象 标记 的 安全 级 别 限制 访问 者 的 访问 权限 ,实现 对 访问 对 象 的 强制 保护 。 

第 四 级 叫 结构 化 保护 级 。 它 具备 第 三 级 的 保护 功能 ,并 将 安全 保护 机 制 划 分 为 关键 部 
分 和 非 关键 部 分 两 层 结 构 ,其 中 的 关键 部 分 直接 控制 访问 者 对 访问 对 象 的 访问 。 该 级 具有 
很 强 的 抗 渗透 能 力 。 

第 五 级 叫 安全 域 保护 级 。 它 具备 第 四 级 的 保护 功能 ,并 增加 了 访问 验证 功能 ,负责 仲裁 
访问 者 对 访问 对 象 的 所 有 访问 活动 。 该 级 具有 极 强 的 抗 渗透 能 力 。 


16 网 络 系统 安全 的 日 常 管理 及 操作 


对 于 网 络 系统 的 安全 管理 和 维护 ,不 仅 需 要 有 配套 的 安全 防御 措施 ,还 需要 规范 的 管理 
制度 和 流程 ,更 需要 高 素质 的 安全 管理 和 操作 人 员 。 


16.1 网 络 系统 的 日 常 管理 


一 般 网 络 管理 人 员 所 面 对 的 网 络 管理 环境 大 都 已 经 采取 了 某 些 安全 措施 ,构成 了 一 定 
的 防御 体系 。 同 时 ,从 管理 的 角度 讲 , 比较 重 视 网 络 安全 的 企业 或 事业 单位 ,都 设 有 专门 的 
安全 管理 机 构 ,制定 了 相应 的 安全 制度 和 规范 。 从 网 络 管理 人 员 的 素质 讲 , 一 般 都 具有 一 定 
的 安全 技能 ,如 分 析 日 志 、 了 解 攻击 特点 、 熟 悉 各 类 操作 系统 ,以 及 本 网 络 的 拓扑 \IP 分 配 情 
况 、 设 备 配置 情况 .系统 配置 情况 ,应 用 系统 情况 。 但 这 些 还 远 远 没有 达到 网 络 安全 日 常 维 
护 的 要 求 。 

网 络 系统 的 安全 维护 通常 有 以 下 方面 。 


1. 口令 (密码 ) 管 理 


口令 问题 容易 被 人 忽视 。 许 多 系统 建设 得 非常 完美 ,但 在 口令 管理 上 不 够 严格 ,甚至 漏 
洞 百出 。 试 想 , 即 便 是 世界 上 最 坚固 的 保险 柜 ,如 果 其 密码 是 “0000” ,那么 这 个 “坚固 ”的 躯 
壳 就 成 为 摆设 了 。 
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一 般 网 络 工作 人 员 常 犯 的 口令 错误 有 : 多 个 账号 使 用 同一 个 密码 ; 密码 全 部 采用 数字 
组 合 或 字母 组 合 ; 密码 从 不 更 新 ; 密码 被 记录 于 易 见 的 媒体 上 ; 远程 登录 系统 时 ,账号 和 密 
码 在 网 络 中 以 明文 形式 传输 等 。 

作为 网 络 安 全 管理 人 员 ,在 口令 管理 上 应 该 养 成 好 习惯 ,比如 : 选取 数字 、 字 母 . 符 号 相 
间 的 口令 ; 口令 不 随便 书写 在 易 见 的 媒体 上 ; 适时 更 新 口令 ; 及 时 删除 已 撤销 的 账号 和 口 
令 ; 远程 登录 时 使 用 加 密 口令 ; 更 严格 情况 可 采用 口令 鉴别 和 PKI 验证 过 程 。 


2. 病毒 防护 


建议 网 络 系统 的 所 有 计算 机 都 安装 统一 的 网 络 防 病毒 软件 ,这 样 容易 解决 病毒 库 的 及 
时 升级 问题 。 通 过 对 防 病毒 服务 器 进行 及 时 升级 ,可 以 做 到 众多 的 客户 端 病毒 库 及 时 升级 ， 
这 样 可 对 最 新 的 病毒 进行 及 时 防 杀 ,减少 病毒 危害 。 

对 于 作为 服务 器 的 主机 ,无 论 是 使 用 Windows 操作 系统 还 是 非 Windows 操作 系统 , 防 
病毒 软件 对 于 主机 系统 的 性 能 都 会 有 不 同 程度 的 影响 。 但 是 ,网 络 防 病 毒 软件 还 是 要 尽 可 
能 地 覆盖 所 有 的 主机 ,并 及 时 进行 病毒 库 升 级 。 在 日 常 维护 中 ,最 好 是 每 隔 两 三 天 就 检查 一 
次 是 否 需要 升级 病毒 库 ,在 必要 时 及 时 进行 升级 。 

谈 到 病毒 防护 ,不 要 以 为 防 病毒 软件 对 任何 病毒 都 有 作用 。 防 病毒 软件 并 不 能 防 杀 掉 
所 有 类 型 的 病毒 ,比如 蠕虫 病毒 。 造 成 这 种 情况 的 原因 很 多 ,如 用 户 没有 及 时 升级 病毒 库 ， 
或 者 该 病毒 的 特征 定义 不 准确 等 。 蠕 虫 病毒 带 有 黑客 攻击 性 质 ,对 于 黑客 攻击 特征 的 研究 ， 
可 以 借助 于 入 侵 检 测 系统 等 监控 设备 ,进行 及 时 监控 ,找到 有 问题 的 机 器 ,及 时 修补 漏洞 。 


3. 漏洞 扫描 


网 络 管理 员 应 密切 跟踪 最 新 的 漏洞 和 攻击 技术 ,及 时 对 网 络 设备 进行 加 固 。 如 果 及 时 
对 IIS 打 补 丁 , 就 不 会 发 生 红色 代码 蠕虫 问题 ; 如 果 及 时 对 SQL Server 打 补 丁 ,就 不 会 发 生 
SQL 蠕虫 问题 ; 如 果 及 时 加 强 口令 的 控制 ,关闭 不 必要 的 服务 ,就 不 会 发 生 被 他 人 远程 控制 
问题 ; 如 果 在 出 口 进行 源 路 由 控制 ,就 不 会 有 DDoS( 分 布 式 拒绝 服务 ?攻击 从 本 网 发 动 ， 
等 等 。 

通过 漏洞 扫描 系统 对 网 络 设备 进行 扫描 ,可 以 从 设备 之 外 的 网 络 角度 来 审视 网 络 上 还 
有 哪些 漏洞 没有 修补 ,正在 提供 什么 样 的 服务 ,以 此 找到 需要 关闭 的 服务 ,甚至 也 可 以 发 现 
部 分 密码 设置 过 于 简单 的 账号 。 

建立 一 个 列表 , 列 出 网 络 中 所 有 主机 应 该 提供 的 服务 和 端口 ,使 用 扫描 系统 ,检查 每 台 
主机 ,看 看 是 否 有 不 必要 的 服务 没有 关闭 ,或 有 漏洞 的 地 方 , 及 时 做 出 调整 及 修补 。 如 果 有 
机 器 被 人 利用 ,应 启动 应 急 响 应 流程 ,分 析 原 因 ,找到 攻击 者 使 用 的 方法 ; 必要 时 ,需要 对 全 
网 安全 策略 进行 调整 。 在 日 常 维护 中 ,每 十 天 左右 可 对 重要 的 主机 进行 一 次 扫描 。 由 于 扫 
描 要 占用 带宽 ,可 根据 带宽 情况 和 设备 数量 .合理 调整 扫描 周期 和 时 间 。 


4. 边界 控制 


边界 可 理解 为 所 管辖 的 内 部 网 与 外 部 网 的 连接 ,如 连接 Internet 的 边界 ,连接 第 三 方 网 
络 的 边界 ; 也 可 以 理解 为 在 一 个 广域网 中 ,各 局 域 网 之 间 的 连接 边界 。 
网 络 之 间 的 连接 设备 一 般 都 是 路 由 器 ,为 了 加 强 安全 控制 ,通常 在 路 由 器 上 配备 防火 墙 
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软件 ,使 之 构成 网 络 层 防 火 墙 。 当 然 ,网 络 之 间 可 能 还 有 其 他 类 型 的 隔离 设备 ,如 网 闸 等 。 
在 加 强 对 路 由 器 、 防 火 墙 本 身 的 安全 控制 之 外 ,也 要 利用 这 些 设备 对 边界 访问 进行 控制 , 特 
别 是 连接 Internet 的 边界 。 事 实 上 ,网络 管 理 员 没有 足够 的 能 力 去 管理 Internet 上 的 行为 ， 
但 有 足够 的 权限 控制 所 辖 内 部 网 络 。 边 界 访问 控制 得 比较 好 ,就 能 有 效 地 减少 来 自 
Internet 的 攻击 风险 。 比 如 ,在 路 由 器 上 可 以 采用 访问 列表 来 控制 内 外 的 访问 ; 采用 源 路 由 
器 控制 方法 ,过 滤 非 本 地 的 IP 报 文 发 送 到 Internet 上 ,可 避免 黑客 的 IP 欺骗 ,也 可 控制 发 
自 本 网 络 内 部 的 伪造 源 地 址 的 蠕虫 病毒 和 DDoS 攻击 。 

加 强 局 域 网 之 间 的 边界 控制 ,可 以 减少 攻击 威胁 的 范围 。 比 如 ,SQL 蠕虫 病毒 在 某 局 
域 网 内 爆发 ,由 于 边界 控制 设备 关闭 了 SQL Server 连接 的 端口 ,因此 ,至 少 可 以 避免 该 病毒 
从 本 局 域 网 传染 到 其 他 局 域 网 。 


5. 实时 监控 


以 上 措施 都 能 提高 网 络 的 组 成 元 素 的 安全 强度 ,但 这 还 不 够 。 因 为 网 络 访问 是 动态 的 ， 
网 络 管理 员 要 时 时 刻 刻 监视 网 络 的 访问 情况 ,特别 是 密切 注意 潜在 的 攻击 行为 ,采取 必要 手 
段 进行 及 时 控制 ; 对 已 攻击 成 功 的 事件 ,应 启动 应 急 响 应 流程 ,分 析 黑 客 是 利用 了 网 络 中 的 
哪些 薄弱 环节 使 用 什么 攻击 方式 进行 的 ,考虑 应 如 何 调整 和 加 强 安全 措施 等 。 

利用 入 侵 检 测 系统 (IDS) 建 立 全 网 的 监控 系统 , 既 可 以 实施 对 网 络 的 实时 全 面 监控 ,也 
可 以 对 某 个 或 某 些 安全 事件 进行 特别 监控 。 管 理 员 要 充分 利用 事件 的 自 定义 功能 ,将 自己 
认为 有 必要 监控 的 网 络 访问 进行 自 定义 。 在 日 常 网 络 的 安全 维护 中 ,应 根据 实际 情况 ,实行 
每 周 7 天 的 全 天 候 (7 天 X24 小时) 监控 或 5 天 X8 小 时 监控 。 


6. 日 志 审核 


这 里 所 说 的 日 志 是 指 操作 系统 日 志 、 应 用 程序 日 志和 防火 墙 日 志 。 如 果 网 络 范围 比 
较 大 ,设备 比较 多 ,日 志 量 就 比较 大 。 如 果 没 有 专门 的 日 志 分 析 工 具 , 网 络 管理 员 应 只 对 
特别 重要 的 服务 器 日 志 进 行 常规 的 日 志 分 析 。 通 过 这 些 分析 , 可 以 发 现 服务 器 上 是 否 有 
异常 活动 。 日 志 分 析 审 核 是 对 网 络 安全 监控 系统 的 一 个 补充 ,在 日 常 维护 中 ,建议 每 月 
进行 一 次 。 


7. 应 急 响 应 


采取 再 多 的 安全 措施 ,也 不 会 造就 绝对 安全 的 网 络 系统 。 在 网 络 安全 方面 ,“ 攻 ”和 “ 防 ” 
是 一 对 既 互 相对 立 、 又 互相 促进 的 矛盾 体 ,它们 总 是 在 实践 中 的 不 断 较量 中 相互 制约 和 不 断 
发 展 的 ,往往 是 先 有 新 的 “攻击 ”手段 和 方法 出 现 ,随后 再 有 相应 的 “防御 ”措施 出 台 ,此 所 请 
“ 道 高 一 尺 , 魔 高 一 丈 ”。 因 此 ,在 攻击 者 侵入 网 络 后 ,需要 有 及 时 的 应 急 响 应 措施 ,对 安全 事 
件 进行 分 析 、 追 踪 , 实 施 修补 。 

希望 每 个 较 大 的 网 络 系统 安全 管理 员 都 建立 自己 的 紧急 响应 流程 ,使 所 有 安全 管理 人 
员 都 知道 ,在 出 现 紧急 安全 事件 时 应 如 何 处 理 。 如 果 和 暂 不 具备 对 安全 事件 分 析 的 实力 ,可 由 
有 能 力 提供 紧急 响应 安全 服务 的 服务 提供 商 进行 支持 。 此 外 ,应 及 时 对 每 次 应 急 响 应 进行 
总 结 ,修正 应 急 响应 流程 。 
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8. 软件 和 数据 文件 的 保护 


软件 和 数据 文件 包括 系统 软件 、 应 用 软件 及 应 用 系统 的 数据 库 各 项 文件 等 。 操 作 系 统 
软件 的 安全 性 体现 在 对 程序 保护 的 支持 和 对 内 存 保护 的 支持 上 。 在 现代 信息 系统 中 ,硬件 
对 操作 系统 的 支持 比较 完善 ,如 使 用 硬件 技术 中 的 特权 指令 、 重 定位 和 界限 寄存 器 、 分 页 ,分 
有 段 等 功能 实现 对 资源 的 合理 分 配 ,将 用 户 的 程序 和 数据 管理 起 来 ,避免 相互 间 的 干扰 和 分 时 
冲突 。 

在 虚拟 存储 技术 中 采用 段 页 表 进 行 地 址 映射 ,在 这 些 表 中 规定 了 对 内 存 信息 的 访问 
权限 。 操 作 系统 正 是 由 内 存 管理 程序 对 内 存 资 源 进行 控制 和 保护 的 。 因 为 操作 系统 管 
理 了 系统 的 全 部 资源 ,因此 它 必 须 避 免 一 般 用 户 的 进入 。 因 该 特定 入 口 是 由 管理 程序 控 
制 的 ,所 以 当 一 般 用 户 试图 通过 特定 入 口 ( 陷 阱 ) 向 操作 系统 请 求 服务 时 ,就 无 法 进入 该 
管理 程序 。 对 于 多 进程 的 系统 ,可 以 采取 优先 级 控制 的 方法 防止 进程 之 间 的 干扰 和 对 系 
统 区 的 非法 访问 。 

目前 ,各 种 应 用 软件 、 软 件 工 具 和 数据 文件 的 数量 正 以 惊人 的 速度 增长 ,以 满足 日 益 
增长 的 计算 机 应 用 的 需要 。 但 非法 复制 、 非 授权 侵入 和 修改 是 对 软件 (数据 文件 ) 的 主要 
危害 。 从 销售 商 的 角度 看 ,需要 一 些 保护 措施 防止 销售 的 软件 被 非法 复制 。 非 法 复制 除 
给 软件 销售 商 带 来 经 济 损失 外 ,更 重要 的 是 ,一 旦 对 国家 经 济 、 工 商 \ 金 融 、 外 贸 以 及 军政 
部 门 的 机 密 软 件 和 系统 软件 (文件 ) 进 行 非法 复制 ,将 造成 不 可 估量 的 损失 ,甚至 严重 威胁 
到 国家 安全 。 

通常 采用 市 场 策 略 、 技 术 策 略 和 法 律 策略 三 种 保护 策略 对 付 软 件 的 非法 复制 。 

1) 市 场 策 略 

比较 典型 的 市 场 策略 是 对 软件 商品 标 以 诱 人 的 低廉 价格 ,使 每 个 潜在 用 户 都 愿意 购买 
它 , 因 为 购买 后 还 可 以 得 到 所 需 文件 和 后 续 的 技术 支持 。 

2) 技术 策略 

技术 策略 涉及 较 多 具体 的 软件 保护 技术 ,如 抗 软件 分 析 法 、 唯 一 签名 法 、 软 件 加 密 法 和 
数据 加 密 法 等 。 抗 软件 分 析 法 可 使 攻击 者 不 能 动态 跟踪 与 分 析 软 件 程序 。 唯 一 签名 法 可 保 
证 软件 不 被 非法 复制 。 但 随 着 科学 技术 的 不 断 发 展 , 各 种 各 样 的 复制 软件 工具 不 断 出 现 , 攻 
击 者 可 以 通过 复制 软件 的 源 代 码 进行 静态 分 析 。 为 防止 这 种 静态 分 析 , 可 对 整个 程序 或 程 
序 的 关键 部 分 进行 加 密 。 软 件 加 密 是 将 介质 上 存储 的 程序 代码 变换 成 一 种 密 文 形式 ,使 得 
攻击 者 即使 是 复制 了 该 软件 也 无 法 读 懂 它 ,因而 也 就 无 法 分 析 和 使 用 它 。 

3) 法 律 策略 

利用 软件 保护 法 等 相应 的 法 律 法 规 的 约束 和 威慑 力 使 人 们 对 非法 侵权 有 所 顾 鼠 ,不 得 
不 去 购买 正版 软件 。 虽 然 法 律 本 身 的 作用 是 有 限 的 ,但 把 几 种 策略 结合 起 来 使 用 还 是 有 
效 的 。 


162 网 络 日 志 管 理 


网 络 日 志 不 仅 能 用 来 进行 安全 检查 ,而且 还 能 够 帮助 用 户 更 好 地 从 事 网 络 管理 工作 。 
网 络 管理 员 的 一 个 十 分 重要 的 工作 就 是 做 好 网 络 日 志 。 有 效 地 利用 网 络 日 志 进 行 网 络 安全 
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管理 是 一 项 十 分 重要 的 工作 。 
现 就 如 何 利用 网 络 日 志 进 行 网 络 管理 工作 做 一 些 简要 介绍 ,并 通过 一 些 日 常 的 范例 来 
说 明 。 最 后 介绍 一 个 网 络 日 志 分 析 工 具 及 其 应 用 。 


1. 网 络 日 志 是 日 常 管理 的 FAQ 


在 日 常 的 网 络 管理 工作 中 ,要 形成 一 种 习惯 ,就 是 将 当天 遇 到 的 问题 与 解决 方法 填写 在 
网 络 日 志 中 ,然后 定期 地 将 这 些 内 容 进行 整理 归 类 到 一 个 名 为 网 络 管理 的 FAQ( 日 常 问答 ) 
中 。FAQ 以 一 问 一 答 的 方式 收集 内 容 , 以 Web 形式 共享 。 这 样 , 当 网 络 管理 员 此 后 再 遇 到 
问题 时 ,可 以 先 在 这 里 寻找 答案 ,这 样 可 大 大 提高 解决 问题 .排除 故障 的 效率 。 


2. 网 络 日 志 是 排除 故障 的 黑匣子 


网 络 日 志 对 于 故障 排除 也 能 起 到 飞机 黑匣子 的 功能 。 下 面 通过 几 个 案例 来 说 明 网 络 日 
志 对 排除 网 络 故障 的 帮助 。 

例 1-1 某 企业 内 部 有 一 台 应 用 服务 器 ,操作 系统 是 Windows NT 4.0, 在 上 面 运行 着 
一 个 通信 网 关 程 序 。 有 一 天 网 络 管理 人 员 一 上 班 就 发 现 这 个 通信 网 关 程 序 喷 工 了 。 结 果 一 
检查 ,该 程序 已 异常 退出 ,而 且 再 也 启动 不 了 。 

这 时 ,网络 管 理 人 员 迅速 查 找 网 络 日 志 , 发 现在 前 一 天 下 班 时 , 另 一 名 网 络 管理 人 员 为 
了 提高 安全 性 ,在 该 服务 器 上 打 了 SP6 补丁 ,然后 关机 下 班 。 网 络 管理 人 员 马 上 与 该 程序 
的 开发 商 取得 联系 ,确认 了 该 程序 与 SP6 不 兼容 ,并 得 到 了 修改 该 故障 的 新 版 程序 ,顺利 地 
解决 了 问题 。 在 本 例 中 ,通过 查看 网 络 日 志 ,寻找 到 了 变动 因素 ,从 而 找到 引起 该 故障 的 
原因 。 

例 1-2 有 一 段 时 间 , 某 企业 内 部 网 络 出 现 了 一 个 奇怪 的 现象 ,每 天 中 午 大 家 都 无 法 正 
常 收发 E-mail, 接 收 邮 件 经 常 超时 ,数据 传输 很 慢 。 开 始 大 家 认为 可 能 是 由 于 中 午 上 网 人 多 
而 引起 的 。 

为 了 能 够 找 出 原因 ,网 络 管理 员 连 续 几 个 中 午 进行 网 络 流量 监测 ,并 将 结果 记录 下 来 。 
然后 翻 开 网 络 日 志 , 查 看 在 发 生 该 情况 之 前 的 网 络 流量 数据 ,结果 发 现 这 几 天 中 午 的 网 络 流 
量 居 然 是 平时 最 大 值 的 十 多 倍 。 他 们 党 得 这 样 的 情况 肯定 不 是 上 网 人 数 简单 增加 引起 的 。 
他 们 就 继续 进行 网 络 监控 ,试图 寻找 出 原因 。 结 果 用 Sniffer 监听 到 了 一 台 PC 在 源源 不 断 
地 向 外 广播 大 量 的 数据 包 。 找 到 这 人 台 PC 的 用 户 后 才 知 道 , 该 用 户 是 在 用 “超级 解 霸 ”看 
VCD, 当 打开 他 的 “超级 解 霸 ? 时 发 现 他 误 设置 了 打开 DVB 数字 视频 广播 ,结果 在 他 看 VCD 
的 同时 也 向 整个 局 域 网 用 户 进行 视频 广播 ,因此 导致 了 网 络 阻塞 。 试 想 如 果 没 有 网 络 日 志 
数据 ,他 们 可 能 无 法 得 知 网 络 数据 的 增长 到 底 有 多 大 ,是 不 是 与 上 网 人 数 增加 有 关系 ,就 可 
能 会 盲目 地 采用 增加 带宽 的 方式 来 解决 该 问题 了 。 


3. 网 络 日 志 是 网 络 升级 的 指示 仪 


网 络 日 志 记 录 了 网 络 日 常 运行 的 状态 信息 ,这些 信息 显示 了 网 络 的 动态 情况 ,有 了 这 些 
情况 ,就 可 以 正确 地 做 出 网 络 升级 的 决策 ,使 得 网 络 升级 能 够 落 到 实处 。 同 时 ,网 络 日 志 还 
为 网 络 升级 提供 了 详细 的 数据 依据 。 

例如 ,每 年 年 底 企 业 领导 都 要 求 网 络 管理 部 门 提交 一 个 关于 新 一 年 中 网 络 升级 的 需求 
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告 , 这 时 网 络 管理 员 就 可 打开 网 络 日 志 , 对 网 络 日 志 中 的 网 络 流 量 数据 进行 分 类 统计 , 获 
取 网 络 流量 的 增长 率 、 网 络 流量 的 高 峰 时 期 等 信息 ; 对 网 络 中 病毒 记录 进行 统计 ,可 以 得 知 
现行 的 病毒 防治 策略 是 否 有 效 ; 还 可 以 从 网 络 日 志 中 发 现 每 一 个 网 络 服务 器 的 负载 变化 情 
况 ,再 根据 这 一 情况 制定 网 络 服务 器 软 硬 件 的 更 新 。 基 于 网 络 日 志 提 供 的 上 述 各 种 数据 信 
息 ,网 络 管理 部 门 即 可 制订 出 一 个 较 完 美的 升级 计划 向 领导 汇报 了 。 

总 之 ,如 果 行 之 有 效 地 利用 网 络 日 志 中 的 数据 记录 ,将 能 够 帮助 网 络 管理 员 更 好 地 完成 
网 络 管理 工作 。 


4. 网 络 设备 的 日 志 管理 


在 一 个 完整 的 信息 系统 里 ,日 志 系 统 是 一 个 非常 重要 的 组 成 部 分 。 查 看 交换 机 、 路 由 器 
和 其 他 网 络 设备 的 日 志 , 可 以 帮助 网 络 管理 员 迅 速 了 解 和 诊断 间 题 。 一 些 网 络 管理 员 认 为 
日 志 管 理 是 信息 安全 管理 的 内 容 , 与 系统 管理 关系 不 大 ,这 绝对 是 错误 的 。 很 多 硬件 设备 的 
操作 系统 也 具有 独立 的 日 志 功 能 。 下 面 以 常见 的 Cisco 设备 为 例 介绍 在 网 络 设备 日 志 管 理 
中 最 基本 的 日 志 记录 方法 与 功能 。 

在 Cisco 设备 管理 中 ,日 志 消 息 通 常 是 指 Cisco IOS 中 的 系统 错误 消息 。 其 中 每 条 错误 
信息 都 被 定 一 个 级 别 , 并 伴随 着 一 些 指示 性 问题 或 事件 的 描述 信息 。Cisco IOS 发 送 日 志 消 
息 ( 包 括 debug 命令 的 输出 ?到 日 志 记录 。 默 认 情 况 下 ,只 发 送 到 控制 台 接口 ,但 也 可 以 将 日 
志 记 录 到 路 由 器 内 部 缓存 。 在 实际 管理 工作 中 ,一 般 将 日 志 发 送 到 终端 线路 ,如 辅助 和 
VTY 线路 .系统 日 志 服务 器 和 SNMP 管理 数据 库 等 。 

例如 ,一 个 消息 经 常 出 现在 Catalyst 4000 交换 机 上 ,假设 日 志 消 息 已 经 启用 了 时 间 惟 
和 序列 号 。 对 于 日 志 消息 ,首先 看 到 的 是 序列 号 , 紧 接着 是 时 间 戳 ,然后 才 是 真正 的 消息 ,如 
WSYS-4-P2_WARN: 1/Invalid traffic from multicast source address 81: 00: 01: 00: 00: 
00 on port 2/1。 

通过 查阅 Cisco 在 线 文档 ,或 者 利用 “错误 信息 解码 器 工具 ”分 析 就 可 判断 出 , 当 交 换 
机 收 到 信息 包 带 有 组 播 MAC 地 址 作为 源 MAC 时 .“ 无 效 的 数据 流 从 组 播 源 地 址 ”系统 日 
志 消 息 生 成 。 在 MAC 地 址 作为 源 MAC 地 址 时 , 帧 不 符合 标准 情况 ,但 交换 机 仍然 转发 
从 组 播 MAC 地 址 发 出 的 数据 流 。 解 决 该 问题 的 方法 是 设法 识别 产生 帧 带 有 组 播 源 
MAC 地 址 的 终端 站 。 一 般 来 说 ,共享 组 播 MAC 地 址 的 这 个 帧 由 数据 流 生 成 器 或 第 三 方 
设备 传输 。 


5. 网 络 日 志 便于 系统 运行 维护 管理 


以 保障 系统 稳定 运行 为 目的 ,通过 采集 各 种 网 络 设备 、 操 作 系统 及 系统 软件 平台 的 
运行 日 志 及 各 种 消息 主动 探测 运行 状态 等 手段 ,全 面 地 监测 .记录 各 种 平台 的 动态 信息 
及 配置 变更 ,实时 地 提供 报警 信息 并 输出 各 种 综合 日 志 分 析 报 告 ,为 系统 管理 人 员 提 供 
了 一 个 监测 面 广 、 响 应 及 时 、 具 有 强大 分 析 能 力 的 信息 系统 基础 设施 一 一 日 志 监 测 管理 
平台 。 这 样 可 大 大 降低 系统 运行 维护 人 员 的 工作 量 和 定位 故障 的 时 间 ,快速 完成 系统 运 
行 维护 任务 。 
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6. 日 志 分 析 工具 及 应 用 


当 网 络 日 志 ( 如 IIS 或 Apache) 的 数量 非常 大 的 时 候 , 人 工分 析 的 效率 是 极 低 的 。 这 时 
我 们 需要 工具 来 帮忙 ,AWStats、Faststs Analyzer、Logs2Intrusions v. 1. 0 等 都 是 很 不 错 的 
网 络 日 志 分 析 工 具 。 下 面 介绍 Apache/TIS 日 志 分 析 工具 AWStats。 

AWStats 是 一 个 基于 Perl 的 Web 日 志 分 析 工 具 。AWsStats 是 Perl 语言 书写 的 程序 ， 
所 以 必须 先 安装 ActivePerl(for win32) 程 序 。 

1) 安装 ActivePerl 

下 载 ActivePerl 的 压缩 包 并 解压 缩 之 后 ,运行 Installer. bat。 输 入 要 安装 的 目录 ,如 
D:\Perl。 接 下 来 基本 上 一 路 回 车 确认 就 可 以 了 。 当 要 求 输入 Apache 路 径 时 ,如 果 没 有 就 
输入 “none”。 最 后 按照 提示 ,输入 “return” 结 束 Perl 安装 。 

2) 测试 ActivePerl 

AWStats 要 显示 的 输出 结果 有 CGI 和 HTML 两 种 方式 ,推荐 使 用 CGI。 

若 按照 默认 的 方式 安装 ActivePerl, 则 在 IIS 中 会 默认 添加 . pl 文件 的 解析 映射 。 否则 
就 要 手工 添加 了 。 

在 IIS 6.0 中 ,还 需要 在 “Web 服务 扩展 ”中 启用 “Perl CGI Extension” 和 “Perl ISAPI 
Extension”, 如 图 1.6 所 示 。 


局 Internet 信息 服务 Web 服务 扩展 状况 
日 葡 FREEMAM 本 地 计算 机 ) 二 所 有 未 知 CGI 扩 展 羔 止 
外 rea 了 了 所 有 未 知 15aP1 扩 展 本目 

[ [Actve Server pages 禁止 

名 ZE |B ASPNET v1.1.4322 多 洗 

加 Intemet 数据 注 接 器 禁止 

Perl CGl Extension 多 话 

Per 15APL Extension 允许 

wbom 禁止 

国 在 服务 器 满 的 包 人 文件 禁止 


1.6 ”Web 服务 扩展 


再 新 建立 一 个 虚拟 目录 。 在 设置 访问 权限 时 要 选择 “执行 (如 ISAPI 应 用 程序 或 
CGD”, 如 图 1.7 所 示 。 如 虚拟 目录 为 test, 对 应 的 物理 路 径 为 D:\test 新 建 test. pl 文件 ， 
保存 到 D:\test\ 下 ,输入 下 面 代码 : 


print"content — type: text/html","\n\n"; 

print "<html>\n"; 

print "<head><title>test< /title></head>\n"; 
print "<body><center>\n"; 

print "这 是 CGI 测试 。\n"; 

print " 苓 喜 你 ,你 的 服务 器 已 支持 PERL。\n"; 

print "< /center></body>\n"; 

print "</html>>\n” # 代码 结束 
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要 可 更 彩 守 


至 所 目录 访问 权 限 
设置 虚拟 目录 的 访问 权限 - 


允许 下 列 积 限 : 

[2 

口 运行 靶 本 tm ss?) G) 

回执 行 和 0 ISAPI 应 用 程序 或 CeT) 加 ) 


口号 入 四 
Da 


单 击 “下 一 步 ” 扳 钮 计 成 向 导 - 


ECE-E FE 5 [Ra |] 


图 1.7 虚拟 目录 创建 向 导 


打开 正 ,在 地 址 栏 中 输入 http://localhost/test/test. pl。 如 果 在 IE 中 出 现 居中 的 “这 
是 CGI 测试 。 茶 喜 你 ,你 的 服务 器 已 支持 PERL。” 说 明 设 置 成 功 ,如 图 1.8 所 示 。 
3 test - Microsoft Internet EXPIUOTET 
文件 {E) ” 编 回 ({E) ”查看 () 收藏 &) 工具 (D 帮助 
OF- 司 - 国 国 罗 只 扫 过 信 - 
地 址 (D) 者] http://localhostjtestjtest.pl 


这 是 CGI 测试 。 蒜 喜 你 ， 你 的 服务 器 已 支持 PERL。 


1.8 CGI 测试 设置 


3) 安装 AWStats 

在 安装 前 会 检测 环境 变量 path 中 是 否 包含 perl 所 在 的 目录 (如 刚才 安装 后 的 路 径 D:\ 
Perl\bin) 。 

如 果 path 中 没有 perl 路 径 ,AWStats 会 弹出 消息 .可 以 选择 “ 跳 过 (skip)”, 但 为 了 保证 
以 后 使 用 的 方便 ,建议 将 perl. exe 所 在 目录 添加 到 path 中 。 

安装 结束 前 ,系统 会 提示 是 否 新 建 一 个 配置 文件 ,选择 “是 (y)”, 输 入 要 统计 的 站 点 名 
(如 www. mysite. com) 即 可 。 

4) 使 用 AWStats 

(1) 设置 IIS 的 日 志 选 项 

默认 日 志 以 天 为 单位 ,日 志 字 段 按照 下 面 设置 : 

。 日 期 date 

。 时间 time 

。 客户 IP 地 址 cip 


。 用 户 名 cs-username 
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5 六 法 cs-method 
。 URI 资源 cs-uri-stem 
。 协议 状态 sc-status 


。 发 送 字 节 数 sc-bytes 

。 协议 版 本 cs-version 

。 用 户 代 理 cs(User-Agent) 

。 引用 站 点 cs(Referer) 

(2) .conf 文件 的 设置 

假设 文件 名 为 awstats. test. conf, 其 设置 如 下 : 


LogFile: 日 志文 件 的 位 置 (ex% YY - 24%MM-24%DD- 24 为 过 去 24 小 时 格式 ) 
LogFile = "C:/WINDOWS/system32/LogFiles/W3SVC1/ex % YY — 24 % MM — 24 % DD — 24. 10g" 
LogType: 日 志 类 型 (W- web log; Mmail log; Fftp 1og) 

LogTYPe =W 

LogFormat: 日 志 格 式 (1 - Mpache or Lotus Notes 日 志 格 式 ; 2- IIS 日 志 格式 ) 
LogFormat = "date time cs — method cs — uri - stem cs - username c — ip cs — version cs(User — 
Agent) cs(Referer) sc— status sc 一 bytes” 

* 注意 ， IIS6. 0 不 能 用 LogFormat = 2 的 格式 ,具体 设置 参看 上 一 行 。 
DirIcons: 图 标 目录 所 在 的 位 置 

DirIcons = "/icon" 

SiteDomain: 统计 站 点 (必须 设置 ) 

SiteDomain = "www. mySite. com" 

DefaultFile: 网 站 的 默认 页 面 

DefaultFile= "index. html" 

Logo = "corplogo. jpg" 

LogoLink = "http://www. mySite. com” 

* logo 必须 是 在 icon/other 目录 下 

StyleSheet: 样式 表 所 在 位 置 

StyleSheet = "/css/awstats_default. css" 

HTMLHeadSection = "<<center> 二 hi 请 这 个 是 网 页 头 二 /hl><</center>" 
HTMLEndSection = "一 center 盖 一 hl 二 这 个 是 网 页 尾 一 /hl 之 一 /center 二 ” 

* 可 以 书写 HTML 代码 

Include: 包含 另外 一 个 conf 文件 

Include "awstats. public. conf" 


说 明 : 先 继承 另外 一 个 conf 文件 的 设置 (比如 一 个 公共 的 设置 ) ,该 文件 的 设置 覆盖 所 


继承 文件 的 设置 。 这 样 可 方便 多 个 站 点 的 统计 。 在 公共 设置 中 设置 好 统计 的 选项 ,其 他 的 
配置 文件 只 需要 修改 日 志 位 置 (LogFile) ,统计 站 点 的 名 称 (SiteDomain) 就 可 以 了 。 


(3) 统计 日 志 
建立 一 个 批 处 理 文件 (比如 makelog. bat) ,输入 以 下 内 容 : 
perl X:\AWStats\wwwroot\cgi — bin\awstats. pl — update - lang= cn - config = mysite 


perl X:\AWStats\wwwroot\cgi — bin\awstats. pl 一 update — lang= cn - config= configl 
perl X:\AWStats\wwwroot\cgi— bin\awstats. pl 一 update — lang = cn - config = config2 
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注 : 需要 统计 几 个 站 点 就 写 几 行 ,修改 -config 王 XXXX 为 要 统计 的 站 点 的 配置 文件 。 
每 天 定时 运行 该 批 处 理 文件 (可 以 做 成 计划 任务 ) 。 

(4) 访问 统计 结果 

建立 一 个 虚拟 目录 (比如 awstats) ,映射 到 AWStats 的 wwwroot 文件 夹 ,访问 权限 要 
选择 “执行 (如 ISAPI 应 用 程序 或 CGD”, 在 地 址 栏 输入 http://localhost/awstats/cgi-bin/ 
awstats. pl? config 王 test, 确 认 后 就 会 得 到 较 详 细 的 访问 统计 结果 。 


习题 和 思考 题 


一 、 问 答题 

1. 何 为 计算 机 网 络 安全 ? 网 络 安全 有 哪 几 个 特征 ? 各 特征 的 含义 是 什么 ? 

2. 网 络 系统 的 脆弱 性 主要 表现 在 哪 几 个 方面 ? 

3. 网 络 安全 的 威胁 主要 来 自 哪 些 方面 ? 通常 说 网 络 威胁 有 哪 两 大 类 ? 

4. OSI 网 络 安全 体系 涉及 哪 几 个 方面 7 网 络 安全 服务 和 安全 机 制 各 有 哪 几 项 ? 
5. P2DR 模型 中 的 P.P、D.、R 的 含义 是 什么 ? 

6. 请 列 出 你 熟悉 的 几 种 常用 的 网 络 安全 防护 措施 。 


二 、 填 空 题 

1. 网 络 系统 的 是 指 保证 网 络 系统 不 因 各 种 因素 的 影响 而 中 断 正常 工作 。 

2. 数据 的 是 指 在 保证 软件 和 数据 完整 性 的 同时 ,还 要 能 使 其 被 正常 利用 和 
操作 。 

3. 网 络 威胁 主要 来 自 人 为 影响 和 外 部 _ 的 影响 ,它们 包括 对 网 络 设备 的 威胁 和 
对 的 威胁 。 


4. 某 些 人 或 某 些 组 织 想方设法 利用 网 络 系统 来 获取 相应 领域 的 敏感 信息 ,这 种 威胁 属 
季 威胁 。 


5. 软 、 硬 件 的 机 能 失常 人 为 误 操 作 、 管 理 不 善 而 引起 的 威胁 属于 威胁 。 
6. 使 用 特殊 技术 对 系统 进行 攻击 ,以便 得 到 有 针对 性 的 信息 就 是 一 种 攻击 。 
7. 被 动 攻击 的 特点 是 偷 听 或 监视 传送 ,其 目的 是 获得 。 
8. TCSEC 将 计算 机 系统 的 安全 分 为 个 级 别 ， 是 最 低级 别 ， 
是 最 高 级 别 ， 级 是 保护 敏感 信息 的 最 低级 别 。 
三 、 单 项 选择 题 


1. 网 络 系统 面临 的 威胁 主要 是 来 自 (1) 影响 ,这 些 威胁 大 致 可 分 为 (2) 两 大 类 。 人 入 侵 
者 对 传输 中 的 信息 或 存储 的 信息 进行 各 种 非法 处 理 , 如 有 选择 地 更 改 、 插 入 、 延 迟 、 删 除 或 复 
制 这 些 信 息 , 这 是 属于 (3) 。 入 侵 者 通过 观察 网 络 线路 上 的 信息 ,而 不 干扰 信息 的 正常 流 
动 ,如 搭 线 窃听 或 非 授权 地 阅读 信息 ,这 是 属于 (4) 。 


(1) A. 无 意 威 胁 和 故意 威胁 B. 人 为 和 自然 环境 
C. 主动 攻击 和 被 动 攻击 D. 软件 系统 和 硬件 系统 
(2) A. 无 意 威胁 和 故意 威胁 B. 人 为 和 自然 环境 
C. 主动 攻击 和 被 动 攻击 D. 软件 系统 和 硬件 系统 
(3) A. 系统 缺陷 B. 漏洞 威胁 C. 主动 攻击 D. 被 动 攻击 
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(4) A. 系统 缺陷 B. 漏洞 威胁 C. 主动 攻击 D. 被 动 攻击 

2. 网 络 安全 包括 (1) 安全 运行 和 (2) 安全 保护 两 方面 的 内 容 。 这 就 是 通常 所 说 的 可 靠 
人 性、 保密 性 、 完 整 性 和 可 用 性 。(3) 是 指 保护 网 络 系统 中 存储 和 传输 的 数据 不 被 非法 操作 ; 
(4) 是 指 在 保证 数据 完整 性 的 同时 ,还 要 能 使 其 被 正常 利用 和 操作 ; (5) 主要 是 利用 密码 技 
术 对 数据 进行 加 密 处 理 , 保 证 在 系统 中 传输 的 数据 不 被 无 关 人 员 识 别 。 


(1) A. 系统 B. 通信 C. 信息 D. 传输 
(2) A. 系统 B. 通信 C. 信息 D. 传输 
(3) A. 保密 性 B. 完整 性 C. 可 靠 性 D. 可 用 性 
(4) A. 保密 性 B. 完整 性 C. 可 靠 性 D. 可 用 性 
(5) A. 保密 性 B. 完整 性 C. 可 靠 性 D. 可 用 性 


网 络 操作 系统 安全 


本 章 要 点 

。 操作 系统 安全 ; 

。 访问 控 制 的 概念 、 类 型 及 措施 ; 

。 Windows NT/2000/2003 系统 的 完全 性 ; 
。 UNIX 和 Linux 系统 的 安全 性 。 


21 网 络 操作 系统 简介 


计算 机 网 络 是 由 多 个 相互 独立 的 计算 机 系统 通过 通信 媒体 连接 起 来 的 。 各 计算 机 都 具 
有 一 个 完整 独立 的 操作 系统 ,网 络 操作 系统 (NOS) 是 建立 在 这 些 独 立 的 操作 系统 基础 上 用 
以 扩充 网 络 功能 的 系统 (系统 平台 ) 。 

网 络 操作 系统 是 为 使 网 络 用 户 能 方便 而 有 效 地 共享 网 络 资源 而 提供 各 种 服务 的 软件 及 
相关 规程 , 它 是 整个 网 络 的 核心 ,通过 对 网 络 资源 的 管理 ,使 网 上 用 户 能 方便 ,快捷 、 有 效 地 
共享 网 络 资源 。 操 作 系统 的 主要 功能 包括 : 进程 控制 和 调度 ,信息 处 理 、 存 储 器 管理 文件 
管理 .输入 /输出 管理 ,资源 管理 等 。NOS 是 一 种 运行 在 硬件 基础 上 的 网 络 操作 和 管理 软 
件 ,是 网 络 软件 系统 的 基础 , 它 建立 一 种 集成 的 网 络 系统 环境 ,为 用 户 方 使 而 有 效 地 使 用 和 
管理 网 络 资源 提供 网 络 接 口 和 网 络 服务 。NOS 除了 具有 一 般 操 作 系 统 所 具有 的 处 理 机 管 
理 \ 存 储 器 管理 ,设备 管理 和 文件 管理 功能 外 ,还 提供 高 效 而 可 靠 的 网 络 通信 环境 和 多 种 网 
络 服务 功能 ,如 文件 服务 、 打 印 服 务 、 记 账 服 务 、 数 据 库 服 务 以 及 支持 Internet 和 Intranet 
服务 。 

目前 ,常用 的 网 络 操作 系统 有 Windows NT/2000 Server、Windows Server 2003、UNIX 
和 Linux 等 。 


211 Windows NT 系统 
Windows NT 是 Microsoft 公司 在 LAN Manager 网 络 操作 系统 基础 上 于 1993 年 推出 


的 具有 更 高 性 能 的 NOSCWindows NT 3.1); 1994 年 9 月 经 过 许多 改进 的 Windows NT 3.5 
版 面世 ,这 是 NT 网 络 技术 较 成 熟 的 版 本 ; 1996 年 ,与 Windows 95 有 相同 用 户 界面 的 
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Windows NT 4.0 推出 。 强 劲 的 网 络 性 能 和 Microsoft 强大 的 市 场 营销 能 力 ,使 Windows 
NT 的 发 展 势头 更 加 迅猛 ,成 为 有 史 以 来 市 场 占有 率 增长 最 快 的 网 络 操作 系统 。 短 短 几 年 
时 间 , 网 络 操作 系统 一 直 由 NetWare 垄断 的 局 面 被 打破 。 尤 其 在 视窗 环境 下 的 用 户 界面 ， 
方便 灵活 的 系统 管理 ,使 得 越 来 越 多 的 计算 机 用 户 转向 Windows NT 系统 。 

在 Windows NT 的 产品 系列 中 ,有 Windows NT 3.5、Windows NT 4.0 和 Windows 
NT 5.0, 每 个 版 本 都 有 Windows NT Workstation( 简 称 Windows NTWS) 和 Windows NT 
Server( 简 称 Windows NTS) 两 个 软件 产品 ,它们 在 Windows NT 网 络 中 扮演 不 同 的 角色 。 
Windows NTS 主要 用 于 网 络 上 的 服务 器 ,包括 文件 服务 器 .打印 服务 器 和 Windows NT 网 
络 的 主 域 控制 器 等 ， Windows NTWS 则 主要 服务 于 高 档 客户 。 从 网 络 角度 看 , Windows 
NTS 属于 管理 网 络 的 主 服务 器 软件 ,而 Windows NTWS 则 用 于 管理 特殊 工作 站 或 用 户 工 
作 站 。 两 者 相 比 ,服务 器 软件 附带 有 较 强 的 管理 功能 和 较 完 善 的 Internet 功能 ,如 可 以 使 用 
附带 的 IIS 软件 建立 企业 网 的 Internet 信息 服务 器 ,而 工作 站 软件 只 有 较 简 单 的 单一 Web 
服务 功能 。 

Windows NT 是 一 种 32 位 多 用 户 、 多 任务 的 网 络 操作 系统 ,也 是 一 种 面向 分 布 式 图 形 
应 用 程序 的 完整 的 平台 系统 。Windows NT 为 网 络 管理 提供 了 完善 的 解决 方案 ,具备 担负 
大 型 项 目 需求 的 能 力 ,提供 了 健全 的 安全 保护 能 力 和 具有 独特 的 支持 多 平台 的 优势 等 。 

Windows NT 是 功能 强大 的 网 络 操作 系统 , 既 适 合 于 大 型 业务 机 构 的 实时 、 分 时 数据 处 
理 , 又 能 为 工作 组 、 商业 和 企业 的 不 同 机 构 提 供 一 种 优化 的 文件 和 打印 服务 ,其 Client/ 
Server 平台 还 可 以 集成 各 种 新 技术 ,通过 该 平台 为 信息 存 取 提 供 优越 的 环境 。 

Windows NT 操作 系统 在 其 核心 内 团 了 容错 技术 ,可 以 在 应 用 软件 和 系统 硬件 故障 时 ， 
保证 系统 能 正常 可 靠 地 工作 ; 提供 了 相当 多 的 易于 实施 的 网 络 管理 及 网 络 安全 功能 ,如 创 
建 用 户 组 和 用 户 , 用 户 入 网 安全 限制 ,进行 各 种 CPU 和 内 存 的 测试 与 分 析 等 。 

虽然 工作 站 软件 也 可 以 被 安装 在 计算 机 上 作为 服务 器 使 用 ,但 由 于 受 其 先天 设计 思想 
的 限制 ,使 多 数 服务 器 版 本 的 软件 无 法 在 该 环境 中 使 用 ,因此 在 多 数 场 合 中 不 适宜 作 服务 器 
使 用 。 然 而 ,对 于 那些 希望 享受 比 Windows 95 更 稳定 、 更 安全 的 操作 系统 的 用 户 来 说 ,使 
用 Windows NTWS 作为 自己 桌面 的 操作 系统 ,可 能 是 一 个 最 佳 选择 。 


212 Windows 2000 系统 


在 Windows NT 之 后 ,Microsoft 公司 又 推出 了 Windows 2000 网 络 操作 系统 。 它 集 
Windows 98 和 Windows NT 4.0 的 很 多 优良 功能 和 性 能 于 一 身 ,超越 了 Windows NT 的 
原来 含义 。 与 Windows NT 相 比 ,Windows 2000 在 许多 方面 都 做 了 较 大 的 改动 ,在 安全 
性 、 可 操作 性 等 方面 都 有 了 质 的 飞跃 。 

Windows 2000 系列 操作 平台 .继承 了 Windows NT 的 高 性 能 ,融入 了 Windows 9x 易 
操作 的 特点 ,又 发 展 了 一 些 新 的 特性 。Windows 2000 使 用 了 活动 目录 、 分 布 式 文件 系统 、 智 
能 镜像 .管理 咨询 等 新 技术 , 它 具 备 了 强大 的 网 络 功能 ,可 作为 各 种 网 络 的 操作 平台 ,尤其 是 
Windows 2000 强化 的 网 络 通信 ,提供 了 强大 的 Internet 功能 。 

Windows 2000 系列 操作 系统 有 Windows 2000 Datacenter Server、 Windows 2000 
Advanced Server、 Windows 2000 Server 和 Windows 2000 Professional 4 个 产品 。Windows 
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2000 Datacenter Server 是 一 个 新 的 品种 , 它 支 持 32 个 以 上 的 CPU 和 64GB 的 内 存 , 以 及 
4 个 节点 的 集群 服务 。Windows 2000 Server 和 Advanced Server 分 别 是 Windows NT 
Server 4.0 及 其 企业 版 的 升级 产品 。Windows 2000 Professional 是 一 个 商业 用 户 的 桌面 操 
作 系 统 , 也 适合 移动 用 户 , 是 Windows NT Workstation 4.0 的 升级 。 

Windows 2000 平台 包括 了 Windows 2000 Professional 和 Windows 2000 Server 前 后 
台 的 集成 , 它 具 有 如 下 的 新 特性 和 新 功能 。 


1. 活动 目录 


Microsoft 在 Windows 2000 Server 中 进一步 发 展 了 活动 目录 的 概念 一 一 安全 可 扩展 、 
可 伸缩 的 目录 服务 。 活 动 目录 也 是 Windows 2000 新 增 的 功能 之 一 ,是 一 个 可 扩展 的 层次 
型 目录 服务 ,可 与 Novell 的 NDS 相 媲美 。 

活动 目录 是 一 个 存储 在 网 络 中 多 台 服 务 器 上 的 分 布 式 数据 库 。 该 数据 库 中 存储 了 整个 
网 络 的 账户 信息 。 当 用 户 登录 网 络 时 ,活动 目录 进行 目录 信息 逻辑 和 分 层 组 织 ,在 活动 目录 
中 使 用 了 树 和 森林 的 概念 。 活 动 目录 与 DNS 紧密 地 集成 在 一 起 ,使 用 DNS 作为 定位 服务 。 
Windows 2000 Server 中 的 域名 是 DNS 域名 。 这 就 意味 着 活动 目录 能 够 自动 地 适应 
Internet 和 Intranet 环境 ,客户 可 以 更 容易 地 找到 目录 服务 器 ,企业 可 以 直接 将 活动 目录 服 
务 连接 到 Internet 上 ,以 促进 与 用 户 的 安全 通信 和 电子 商务 活动 。 活 动 目录 采用 DNS 域 
名 ,是 实现 树 和 森林 的 基础 。 如 果 企 业 网 中 域名 连续 衔接 , 像 一 个 分 又 的 树 , 则 应 该 建立 域 
树 ; 如 网 络 中 域名 可 以 构成 多 个 互 不 相连 的 树 ,就 可 以 成 为 一 个 森林 。 

活动 目录 是 高 度 可 伸缩 的 , 它 可 采用 Internet 标准 技术 建立 ,并 在 操作 系统 级 完成 企业 
级 目录 服务 。 它 为 运行 在 Windows 上 的 应 用 程序 提供 全 面 的 目录 服务 ,同时 还 被 设计 成 一 
个 统一 的 集合 点 ,用 于 隔离 `. 迁 移 和 集中 管理 企业 拥有 的 目录 ,并 减少 目录 的 数目 。 这 样 , 活 
动 目录 可 以 在 任何 系统 中 正常 工作 ,从 只 有 几 百 个 对 象 .一 台 服 务 器 的 小 型 系统 到 拥有 数 百 
万 个 对 象 ` 上 千 万 台 服务 器 的 庞大 系统 ,使 其 成 为 企业 信息 共享 和 网 络 资源 通用 管理 的 理想 
平台 。 


2. 分 布 式 文件 系统 


Windows 2000 在 Windows NT Server 4. 0 的 高 效 文件 服务 基础 上 ,加 强 或 新 增 了 分 布 
式 文件 系统 (Distributed File System,DFS)。DFS 的 作用 是 不 管 文件 的 物理 分 布 情况 ,可 
以 把 文件 组 织 成 为 树 状 的 分 层次 多 辑 结 构 ,便于 用 户 访问 网 络 文件 资源 .加 强 容错 能 力 和 网 
络 负载 均衡 等 。 该 系统 可 将 许多 不 同 服务 器 上 的 若干 逻辑 磁盘 分 区 或 卷 标 组 合 在 一 起 ,使 
它们 好 像 一 个 完整 的 逻辑 驱动 器 。DFS 能 够 在 服务 器 和 共享 区 上 实现 文件 系统 对 硬盘 所 
做 的 所 有 工作 ,并 能 对 基本 相同 的 存储 区 进行 一 致 性 存 取 。 

建立 了 分 布 式 文件 系统 之 后 ,可 以 从 文件 树 的 根 节点 开始 寻找 文件 ,再 也 不 会 迷失 方 
向 ,也 无 需 考虑 文件 的 物理 存储 位 置 。 即 使 文件 的 物理 存储 位 置 有 变动 ,也 不 会 影响 用 户 的 
使 用 。 这 是 一 个 透明 的 高 扩展 性 的 文件 管理 方案 。 

DFS 还 打破 了 PC 环境 下 一 个 磁盘 分 区 总 是 以 一 个 逻辑 驱动 器 方式 存在 的 结构 ,在 复 
杂 环 境 中 ,解决 了 驱动 器 命名 的 限制 问题 。 以 往 的 非 DFS 技术 具有 缺乏 容错 能 力 、 灵 活性 
与 伸缩 性 的 限制 和 缺乏 可 伸缩 性 等 局 限 性 。 通 过 使 用 DFS. 以 同样 的 文件 结构 可 以 定位 来 
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自 不 同 服务 器 的 共享 区 。 
3. 管理 咨询 


Windows 2000 在 服务 器 和 用 户 环境 的 管理 方面 作 了 很 大 的 改进 ,这 些 改进 归功 于 
Microsoft 管理 控制 台 MMC。MMC 不 是 一 个 孤立 的 管理 工具 ,而 是 可 显示 管理 信息 的 框 
架 系 统 ,是 以 前 所 有 管理 系统 的 集合 。 它 是 一 个 图 像 化 的 控制 平台 ,其 中 包含 的 程序 给 出 了 
管理 NT 环境 某 部 分 的 入口 。 各 种 插件 以 树 状 结构 组 织 起 来 ,并 包含 管理 员 执 行 特 定 任务 
所 需要 的 工具 和 信息 。MMC 中 的 各 窗口 都 可 显示 树 状 结构 的 某 个 部 分 ,从 而 可 直接 执行 
某 一 任务 。 

MMC 对 管理 任务 而 言 ,是 一 个 完整 的 解决 方案 , 它 可 以 融 于 已 有 的 HP Open View 管 
理工 具 中 ,并 可 启动 其 他 管理 系统 , 且 还 可 像 其 他 任何 程序 一 样 被 调用 创建 指向 可 执行 文 
件 、 脚 本 或 URL 的 快捷 方式 。 与 其 他 管理 控制 平台 相 比 ,MMC 不 依赖 于 任何 协议 或 底层 
资源 。MMC 不 仅 可 以 消除 用 户 界面 的 差别 ,还 可 以 根据 自己 的 需要 , 设 定 特定 的 可 裁剪 视 
图 。 每 个 管理 员 可 根据 具体 任务 的 不 同 而 进行 不 同 的 安装 。 


4. 智能 镜像 技术 


智能 镜像 是 一 系列 改变 和 配置 管理 功能 的 总 称 , 是 Windows 2000 提供 的 特有 的 强大 
功能 ,同时 发 挥 服务 器 和 客户 机 的 不 同 特性 。 它 综合 了 中 心计 算 的 优点 和 分 布 计算 的 性 能 
和 灵活 性 。Windows 2000 的 改变 和 配置 管理 由 智能 镜像 和 远程 操作 系统 安装 服务 组 成 。 
智能 镜像 包括 用 户 的 数据 管理 和 用 户 的 计算 机 设置 管理 。 智 能 镜像 的 目的 是 使 一 个 用 户 的 
数据 ,应 用 程序 和 设置 紧 随 该 用 户 ,不 管 该 用 户 在 网 络 上 的 任何 地 点 登录 ,其 专用 信息 可 随 
时 出 现 。 例 如 ,用 户 在 办 公 室 的 计算 机 上 设置 了 自己 喜欢 的 和 常用 的 桌面 配置 ,用 户 在 其 他 
任何 网 络 上 登录 计算 机 ,就 会 看 到 自己 熟悉 的 桌面 ,而 不 需要 用 户 再 重新 设置 。 


5. 强化 的 网 络 通信 


Windows 2000 中 的 网 络 通信 部 分 得 到 了 较 大 的 增强 ,提供 了 一 种 新 版 本 网 络 设备 接口 
规范 (NDIS) 的 网 络 结构 ,其 中 包括 异步 传输 模式 (ATM) 、 服 务 质量 QoS 和 无 线 WAN。 
Windows 2000 中 的 TCP/IP 支持 多 目 通 信 、 快 速 传 输 与 恢复 、 地 址 的 冲突 检测 等 ,这 使 它 成 
为 当前 最 流行 的 通信 方式 之 一 。Windows 2000 强化 的 通信 功能 表现 在 以 下 几 个 方面 。 

。 虚拟 专用 网 (VPN)。 利 用 VPN 企业 可 以 很 容易 地 与 那些 不 在 办 公 室 的 职员 连接 ， 
并 可 运行 虚拟 专用 网 络 ,以 降低 成 本 。Windows 2000 的 多 重 协 议 可 优化 连接 方式 ， 
而 透明 性 使 这 一 切 对 于 终端 用 户 来 说 非常 容易 。Windows 2000 Server 支持 许多 新 
的 .更 安全 的 协议 。 其 中 有 两 层 通道 协议 ,为 连通 、 地 址 分 配 和 身份 验证 提供 更 安全 
的 性 能 。 

路 由 和 远程 访问 服务 。 路 由 和 远程 访问 服务 是 一 个 独立 集成 的 服务 。 该 服务 为 拨 
号 网 络 或 VPN 客户 提供 连接 或 路 由 服务 ,或 者 两 者 同时 提供 。 它 为 Windows 2000 
Server 提供 了 作为 远程 服务 器 .VPN 服务 器 或 者 分 支 路 由 器 应 具有 的 特征 。 

路 由 和 网 关 。Windows 2000 Server 继承 了 可 编程 的 网 络 基础 结构 ,包括 一 系列 丰 
富 的 路 由 和 网 关 服 务 ,以 满足 不 同 的 需求 。 管 理 员 可 以 选择 一 种 被 支持 的 连接 性 选 
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项 ,以 便 将 Windows 2000 Server 创建 为 多 连接 路 由 器 。Windows 2000 Server 包 
括 一 整套 路 由 和 网 关 设 置 , 这 样 ,就 可 以 自由 地 连接 企业 网 络 及 其 周边 分 支 网 络 。 

。 网 络 地 址 转换 。 网 络 地 址 转换 器 能 将 专用 内 部 地 址 转换 为 公用 外 部 地 址 。 相 对 于 
外 部 地 址 ,从 内 部 隐藏 了 IP 地 址 的 管理 , 它 允 许 用 户 在 内 部 使 用 未 注册 的 IP 地 址 ， 
这 样 ,就 可 以 降低 IP 地 址 的 注册 费用 。 网 络 地 址 转换 器 还 屏蔽 了 内 部 的 网 络 结构 ， 
从 而 降低 了 由 于 服务 器 被 拒绝 而 攻击 内 部 系统 的 风险 。 


2.1.3 Windows 2003 系统 


在 微软 的 企业 级 操作 系统 中 , 如果 说 Windows 2000 全 面 继承 了 NT 技术 ,那么 
Windows Server 2003 则 是 依据 . NET 架构 对 NT 技术 进行 了 重要 发 展 和 实质 性 改进 ,并 部 
分 实现 了 . NET 战略 ,构筑 了 . NET 战略 中 最 基础 的 一 环 。Windows Server 2003 作为 . 
NET 架构 提出 以 来 最 重要 、 最 基础 性 的 产品 , 它 的 推出 受到 了 业内 人 士 的 关注 。 

Windows Server 2003 是 一 款 微软 推出 的 全 新 操作 系统 。Windows Server 2003 简体 
中 文 版 分 Web、Standard、Enterprise 和 Datacenter 4 个 版 本 。Enterprise 版 最 大 支持 8 个 
处 理 器 和 32GB 内 存 , 最 小 配置 为 CPU 速度 不 低 于 133MHz, 内存 不 少 于 128MB。 因 此 ， 
Windows Server 2003 具有 硬件 适应 面 广 和 伸缩 性 强 的 特点 。 

Windows Server 2003 不 仅 改 进 了 Windows 2000 原 有 的 服务 ,提高 了 这 些 服务 的 性 能 
和 扩充 了 许多 功能 ,而 且 还 增加 了 新 的 服务 。 


1. 安全 性 


原来 的 Windows 系统 的 安全 性 总 是 不 尽 如 人 意 ,直到 Windows 2000 才 有 较 大 改观 ， 
但 依然 存在 缺憾 ,如 登录 时 的 输入 法 漏洞 IIS 特殊 网 址 漏洞 等 。Windows Server 2003 在 
安全 上 下 了 很 大 功夫 ,不 仅 堵 住 了 已 发 现 的 NT 漏洞 ,而 且 还 重新 设计 了 安全 子 系统 ,增加 
了 新 的 安全 认证 ,改进 了 安全 算法 。 

在 本 地 安全 策略 方面 , Windows 2003 区 别 于 Windows 2000 之 处 在 于 软件 限制 策略 
(SRP)。Windows 2003 的 SRP 允许 用 户 控 制 在 本 地 计算 机 系统 上 运行 哪些 软件 。 用 户 可 
在 选项 中 规定 系统 要 运行 的 软件 ,因此 可 阻止 不 被 信任 的 软件 运行 。 用 户 可 定义 默认 的 安 
全 级 别 为 Unrestricted( 允 许 未 明确 拒绝 的 ) 或 Disallowed( 拒 绝 未 明确 允许 的 )。 后 者 有 较 
好 的 安全 级 别 , 但 限制 过 于 严格 。 

在 用 户 组 策略 方面 , Windows 2003 系统 在 组 策略 中 增加 了 两 项 内 容 : 软件 限制 策略 
(CSRP) 和 无 线 网 络 策略 (IEEE 802. 11) 。 软 件 限 制 策略 的 功能 与 本 地 安全 策略 相同 ,但 它 可 
应 用 到 站 点 、 域 或 机 构 单 位 (OU)。 无 线 网 络 策略 允许 管理 员 管 理 无 线 网 络 ,定义 优先 的 无 
线 网 络 ,并 对 任何 系统 定义 IEEE 802. 1X 身份 验证 。 

Windows 2003 的 安全 中 心 是 活动 目录 (AD)。 它 集成 了 最 新 版 本 的 Windows 操作 系 
统 中 的 目录 服务 。Windows 2003 的 活动 目录 比 Windows 2000 的 活动 目录 的 灵活 性 和 可 
管理 性 更 强 , 可 以 处 理 森 林 域 信任 关系 。 
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2. 可 管理 性 


Windows Server 2003 的 可 管理 性 较 Windows 2000 有 了 很 大 增强 ,主要 体现 在 各 种 服 
务 的 配置 上 。 利 用 “配置 您 的 服务 器 ?和 ”管理 您 的 服务 器 向导, 系统 管理 员 可 以 轻松 地 进 
行 服 务 器 角色 的 安装 和 管理 ,从 而 完成 各 种 服务 器 的 安装 和 配置 ,其 简单 方便 和 全 面 均 非 
Windows 2000 可 比 。Windows Server 2003 已 内 置 了 文件 服务 器 .打印 服务 器 应 用 程序 服 
务 器 、 邮 件 服务 器 ,终端 服务 器 、 远 程 访问 /VPN 服务 器 、 域 控制 器 .DNS 服务 器 `.DHCP 服 
务 器 \ 流 式 媒体 服务 器 、WINS 服务 器 等 服务 器 角色 ,几乎 法 括 了 所 有 的 服务 器 应 用 。 利 用 
这 些 内 置 的 服务 器 角色 ,只 需 简单 的 操作 即 可 完成 相应 服务 器 的 配置 。 用 户 还 可 以 利用 ”* 管 
理 您 的 服务 器 ”对 流 媒体 服务 器 的 一 些 参数 和 选项 进行 调整 。 删 除 服务 器 也 很 简单 ,只 需 在 
“管理 您 的 服务 器 ”中 删除 相应 的 服务 器 角色 即 可 。 


3. 系统 性 能 


通过 实测 ,在 相同 硬件 配置 下 , Windows Server 2003 的 启动 速度 和 程序 运行 速度 比 
Windows 2000 Server 要 快 许多 ,在 低档 硬件 配置 下 和 运行 像 Photoshop 类 的 大 型 软件 时 表 
现 得 更 明显 。 这 无 疑 是 Windows Server 2003 核心 得 到 改进 、 各 种 设备 的 管理 得 到 优化 的 
结果 ,同时 也 表明 Windows Server 2003 作为 服务 器 操作 系统 有 十 分 突出 的 内 存 管 理 \ 磁 级 
管理 和 线程 管理 性 能 。 作 为 新 一 代 网 络 操作 系统 , Windows Server 2003 有 自己 独 有 的 设 
备 管理 模式 ,所 以 硬件 驱动 程序 要 安装 ForWin 2003 产品 ,而 且 最 好 是 经 微软 认证 获得 数 
字 签 名 的 产品 ,这样 才能 保证 Windows Server 2003 的 稳定 性 和 安全 性 。Windows Server 
2003 已 内 秆 了 大 多 数 主流 硬件 的 驱动 程序 ,这 些 程序 与 硬件 厂商 提供 的 驱动 程序 相 比 ,其 
稳定 性 和 兼容 性 都 很 好 。 


4. 安装 和 界面 


Windows Server 2003 的 安装 类 似 于 Windows XP, 其 区 别 是 屏幕 左上 角 的 Windows 
Server 2003 提醒 。 安 装 分 为 升级 安装 和 全 新 安装 两 种 。Windows Server 2003 Enterprise 
版 只 能 从 Windows NT Server 4. 0 十 SP5 或 更 高 版 本 以 及 Windows 2000 Server 的 各 个 版 
本 升级 。 如 果 未 达到 上 述 版 本 ,只 能 先 升级 到 以 上 版 本 后 再 升级 到 Windows Server 2003 。 

Windows Server 2003 已 全 面 更 换 为 Windows XP 界面 ,同时 也 为 习惯 于 传统 
Windows 版 本 的 操作 者 准备 了 传统 的 Windows 界面 。 微 软 计划 将 所 有 产品 的 界面 统一 于 
Windows XP 式样 以 适应 . NET 战略 ,这 在 Windows Server 2003 中 得 到 了 再 次 体现 ,也 将 
在 Office 2003、Visual Studio . NET 2003 等 产品 中 得 到 进一步 体现 。 


5. 功能 


Windows Server 2003 改进 并 增强 了 如 下 功能 : 

。 远程 控制 功能 。Windows Server 2003 增加 了 原来 通过 Netmeeting 才能 实现 的 “ 远 
程 桌面 连接 ”, 使 系统 管理 员 对 网 络 的 控制 和 管理 大 大 加 强 。 

。 .NET Framework 计算 平台 。 为 了 适应 . NET 战略 , Windows Server 2003 提供 了 
.NET Framework 计算 平台 。 它 简化 了 Internet 分 布 式 环境 中 应 用 程序 的 开发 (如 
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开发 ASP. NET 应 用 程序 和 XML Web 服务 ) ,并 为 这 些 应 用 程序 提供 了 良好 的 支 
持 和 可 缩放 的 服务 端 运行 环境 。 

IIS 6.0。Windows Server 2003 内 置 了 IIS 6.0 版 , 它 较 Windows 2000 中 的 IIS 5.0 
在 可 靠 性 、 安 全 性 、 可 管理 性 等 方面 有 了 长 足 进步 ,尤其 是 在 全 面 支持 . NET 架构 
上 ,提供 了 出 色 的 ASP. NET 运行 环境 和 Web 应 用 程序 开发 和 运行 机 制 。 

流 媒 体 服务 。 对 流 媒体 服务 器 的 改进 ,使 微软 作为 流 媒 体 技术 领导 者 的 地 位 得 到 进 
一 步 加 强 。 流 媒体 服务 器 (Windows Media Services) 版 本 已 升 至 9. 0, 它 与 客户 端 
的 Windows Media Player 9.0 的 配合 非常 密切 。 流 媒体 服务 器 改进 了 客户 端 和 服 
务 器 的 连接 方式 ,使 数据 流 在 较 差 的 网 络 环境 下 也 能 流畅 地 播放 。 流 媒体 服务 器 还 
提供 了 SDK 开发 包 和 各 种 调用 接口 ,使 程序 开发 人 员 可 以 定制 和 打造 个 性 化 的 流 
媒体 服务 。 

关闭 事件 跟踪 功能 。Windows Server 2003 在 关机 和 重启 模块 中 ,增加 了 “关闭 事件 
跟踪 程序 ?选项 ,使 用 户 在 关机 前 进行 选择 。 该 功能 对 客户 端 无 关 紧 要 ,但 对 服务 器 
系统 却 很 重要 ,因为 服务 器 是 连续 工作 的 , 非 计划 的 关机 或 重启 意味 着 事故 ,所 以 必 
须 记 录 在 案 。 


214 UNIX 系统 


1. UNIX 概 述 


1970 年 ,在 美国 电报 电话 公司 (AT&.T) 的 贝尔 (Bel) 实 验 室 研制 出 了 一 种 新 的 计算 机 
操作 系统 ,这 就 是 UNIX。UNIX 是 一 种 分 时 操作 系统 ,主要 用 在 大 型 机 、 超 级 小 型 机 、RISC 
计算 机 和 高 档 微 机 上 。 在 整个 20 世纪 70 年 代 它 得 到 了 广泛 的 普及 和 发 展 。 许 多 工作 站 生 
产 厂家 使 用 UNIX 作为 其 工作 站 的 操作 系统 。 在 20 世纪 80 年 代 , 由 于 世界 上 各 大 公司 纷 
纷 开 发 并 形成 自己 的 UNIX 版 本 ,出 现 了 分 裂 局 面 ,加 之 受到 了 NetWare 的 极 大 冲击 ， 
UNIX 曾 一 度 衰 败 。20 世纪 90 年 代 , 开 发 和 使 用 UNIX 的 各 大 公司 再 次 加 强 了 合作 和 对 
UNIX 的 统一 进程 ,并 加 强 了 UNIX 系统 网 络 功 能 的 深入 研究 ,不 断 推出 了 功能 更 强大 的 新 
版 本 ,并 以 此 拓展 全 球 网 络 市 场 。20 世纪 90 年 代 中 期 ,UNIX 作为 一 种 成 熟 \ 可 靠 、 功 能 强 
大 的 操作 系统 平台 ,特别 是 对 TCP/IP 的 支持 以 及 大 量 的 应 用 系统 ,使 得 它 继续 拥有 相当 规 
模 的 市 场 , 并 保持 了 连续 数 年 的 两 位 数字 的 增长 。 

UNIX 系统 的 再 次 成 功 取决 于 它 将 TCP/IP 协议 运行 于 UNIX 操作 系统 上 ,使 之 成 为 
UNIX 操作 系统 的 核心 ,从 而 构成 了 UNIX 网 络 操作 系统 。UNIX 操作 系统 在 各 种 机 器 上 
都 得 到 了 广泛 的 应 用 , 它 已 成 为 最 流行 的 网 络 操作 系统 之 一 和 事实 上 标准 的 网 络 操作 系统 。 
UNIX 系统 服务 器 可 以 与 Windows 及 DOS 工作 站 通过 TCP/IP 协议 连接 成 网 络 。UNIX 
服务 器 具有 支持 网 络 文件 系统 服务 .提供 数据 库 应 用 等 优点 。 


2. UNIX 操作 系统 的 特点 


。 UNIX 系统 是 一 个 可 供 多 用 户 同时 操作 的 会 话 式 分 时 操作 系统 。 不 同 的 用 户 可 以 
在 不 同 的 终端 上 ,通过 会 话 方式 控制 系统 操作 。 
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UNIX 系统 继承 了 以 往 操作 系统 的 先进 技术 ,又 在 总 体 设计 思想 上 有 所 创新 。 在 操 
作 系 统 功能 设计 上 力求 简捷 、 高 效 。 

UNIX 系统 在 结构 上 分 为 内 核 和 核 外 程序 两 部 分 。 内 核 部 分 就 是 一 般 所 说 的 UNIX 
操作 系统 。 能 够 从 内 核 中 分 离 出 来 的 部 分 , 则 以 核 外 程序 形式 存在 并 在 用 户 环境 下 
运行 。 内 核 向 核 外 程序 提供 了 充分 而 强大 的 支持 ,而 核 外 程序 灵活 地 运用 了 内 核 的 
支持 。 

UNIX 系统 向 用 户 提供 了 两 种 界面 : 一 种 是 用 户 使 用 命令 ,通过 终端 与 系统 进行 交 
互 的 界面 , 即 用 户 界 面 ; 另 一 种 是 用 于 用 户 程序 与 系统 的 接口 , 即 系统 调用 。 

UNIX 系统 采用 树 型 结构 的 文件 系统 。 它 由 基本 文件 系统 和 可 装 外 的 若干 个 子 文 
件 系 统 组 成 。 它 既 能 扩大 文件 存储 空间 ,又 具有 良好 的 安全 性 、 保 密 性 和 可 维护 性 。 
UNIX 系统 提供 了 丰富 的 核 外 系统 程序 ,其 中 包含 有 丰富 的 语言 处 理 程序 .系统 实 
用 程序 和 开发 软件 的 工具 。 这 些 程序 为 用 户 提供 了 相当 完备 的 程序 设计 环境 。 
UNIX 系统 基本 上 是 用 C 语言 编写 的 ,这 使 系统 易于 理解 .修改 和 扩充 , 且 使 系统 具 
有 良好 的 可 移植 性 。 

UNIX 系统 是 能 在 笔记 本 电脑 .PC 工作 站 、 中 小 型 机 乃至 巨型 机 上 运行 的 操作 系 
统 。 因 此 ,UNIX 系统 具有 极 强 的 可 伸缩 性 。 


21.5 Linux 系统 


1. Linux 概述 


Linux 是 一 种 类 似 于 UNIX 操作 系统 的 自由 软件 , 它 是 由 芬兰 赫尔辛基 大 学 的 一 位 叫 
Linus 的 大 学 生发 明 的 。1991 年 8 月 ,Linus 在 Internet 上 公布 了 他 开发 的 Linux 的 原 代 
码 。 由 于 Linux 具有 结构 清晰 、 功 能 简捷 和 完全 开放 等 特点 ,许多 大 学 生 和 科研 机 构 的 研究 
人 员 纷 纷 将 其 作为 学 习 和 研究 对 象 。 他 们 在 修改 原 Linux 版 本 中 错误 的 同时 ,也 不 断 为 
Linux 增加 新 的 功能 。 在 全 世界 众多 热心 者 的 努力 下 ,Linux 操作 系统 得 以 迅速 发 展 ,成 为 一 
个 稳定 可 靠 、 功 能 完善 的 操作 系统 ,并 赢得 了 许多 公司 的 支持 ,包括 提供 技术 支持 ,开发 Linux 
应 用 软件 ,并 将 其 应 用 推 而 广 之 ,这 也 大 大 加 快 了 Linux 系统 商业 化 的 进程 。 国 际 上 许多 著名 
IT 厂商 和 软件 商 纷 纷 宣布 支持 Linux。Linux 很 快 被 移植 到 Alpha、PowerPC、Mips 和 Sparc 等 
平台 上 ,从 Netscape、IBM、Oracle、Informix 到 Sybase 均 已 推出 Linux 产品 。Netscape 对 Linux 
的 支持 ,大 大 加 强 了 Linux 在 Internet 应 用 领域 中 的 竞争 地 位 。 大 型 数据 库 软 件 公司 对 Linux 
的 支持 , 则 对 其 进入 大 中 型 企业 的 信息 系统 建设 和 应 用 领域 奠定 了 基础 。 

在 中 国 , 随 着 Internet 的 发 展 和 网 民 的 迅速 增加 ,一 支 主要 由 高 校 学 生 和 ISP 技术 人 员 
组 成 的 Linux 爱好 者 队伍 已 蓬勃 发 展 起 来 , 曾 兴 起 “Linux 热 ”。 随 后 Linux 在 国内 得 到 了 
大 规模 的 应 用 和 普及 。 可 以 说 . 随 着 Internet 的 普及 应 用 ,免费 而 性 能 优异 的 Linux 操作 系 
统 将 发 挥 越 来 越 大 的 作用 。 

Linux 之 所 以 发 展 得 如 此 之 快 , 不 能 不 说 是 Internet 的 功劳 ,因为 对 Linux 的 讨论 和 研 
究 都 是 通过 Internet 进行 的 。Linux 和 Internet 的 发 展 相辅相成 ,没有 Internet, 就 没有 
Linux 的 诞生 和 发 展 。 反 过 来 ,Linux 的 发 展 也 大 大 促进 了 Internet 的 发 展 ,因为 Linux 是 


第 2 章 ”网 络 操作 系统 安全 


一 个 完全 公开 的 操作 系统 ,每 个 人 都 可 以 得 到 它 的 源 代码 ,这 使 得 许多 人 的 才能 有 了 用 武之 
在 Internet 上 ,自学 成 为 Linux 专家 已 成 为 年 轻 人 的 最 大 梦想 之 一 。 


地 。 


2 


Linux 的 特点 


Linux 继承 了 UNIX 的 很 多 优点 (如 多 任务 、 多 用 户 ) ,但 也 具有 如 下 自身 独特 的 优点 : 


共享 内 存 页 面 。 在 Linux 下 ,多 个 进程 可 以 使 用 同一 个 内 存 页 面 ,只 有 在 某 一 个 进 
程 试图 对 这 个 页 面 进行 写 操作 时 ,Linux 才 将 这 个 页 面 复制 到 内 存 的 另 一 块 区 域 。 
因此 该 特点 加 快 了 程序 运行 的 速度 ,还 节约 了 宝贵 的 物理 内 存 。 

使 用 分 页 技术 的 虚拟 内 存 。 在 Linux 下 ,系统 核心 并 不 把 整个 进程 交换 到 硬盘 上 ， 
而 是 按照 内 存 页 面 来 交换 。 虚 拟 内 存 的 载体 ,不 仅 可 以 是 一 个 单独 的 分 区 ,也 可 以 
是 一 个 文件 。Linux 还 可 以 在 系统 运行 时 临时 增加 交换 内 存 , 而 不 是 像 某 些 UNIX 
系统 那样 重新 启动 才能 使 用 新 的 交换 空间 。 

动态 链接 共享 库 。Linux 既 可 使 用 静态 链接 共享 库 , 也 可 提供 动态 链接 共享 库 功 
能 ,因此 可 大 大 减少 Linux 应 用 程序 所 占用 的 空间 。 如 一 个 普通 的 应 用 程序 使 用 静 
态 链接 编译 时 占用 空间 2MB, 而 在 使 用 动态 链接 编译 时 可 能 占用 空间 仅 为 50KB 
左右 。 

支持 多 个 虚拟 控制 台 。 用 户 可 以 在 一 个 真实 的 控制 台 前 登录 多 个 虚拟 控制 台 , 可 以 
使 用 热 键 在 这 些 虚拟 控制 台 之 间 切 换 。 

调度 磁盘 缓冲 功能 。Linux 最 突出 的 一 个 优点 就 是 它 的 磁盘 I/O 速度 快 ,因为 它 将 
系统 没 用 到 的 剩余 物理 内 存 全 部 用 来 做 硬盘 的 高 速 缓冲 , 当 对 内 存 要 求 比较 大 的 应 
用 程序 运行 时 , 它 会 自动 地 将 这 部 分 内 存 释放 出 给 应 用 程序 使 用 。 

支持 多 平台 。 虽 然 Linux 系统 主要 在 x86 平台 上 运行 ,但 它 也 可 在 Alpha 和 Sparc 
平台 上 运行 。RedHat 公司 已 推出 了 适合 后 两 种 平台 的 开发 套件 ,对 其 他 硬件 平台 
的 移植 工作 也 在 进行 中 。 

与 其 他 UNIX 系统 兼容 。Linux 与 大 多 数 POSIX SYSTEM V 等 UNIX 系统 在 源 
代码 级 兼容 ,通过 iBCS2 兼容 的 模拟 模块 ,Linux 可 直接 运行 SCO、SVR3、SVR4 的 
可 执行 程序 。 

提供 全 部 源 代 码 。Linux 最 重要 的 特性 就 是 它 的 源 代码 是 免费 公开 的 ,这 包括 整个 
系统 核心 .所 有 的 驱动 程序 .开发 工具 包 以 及 所 有 的 应 用 程序 。 


此 外 ,Linux 还 具有 支持 多 种 CPU、 多 种 硬件 ,软件 移植 性 好 等 特点 。 


22 网 络 操作 系统 的 安全 与 管理 


网 络 操作 系统 在 网 络 应 用 中 发 挥 着 十 分 重要 的 作用 。 因 此 ,网 络 操作 系统 本 身 的 安全 ， 
就 成 为 网 络 安全 保护 中 的 重要 内 容 。 

操作 系统 主要 的 安全 功能 包括 : 存储 器 保护 (限定 存储 区 和 地 址 重 定位 ,保护 存储 信 
息 ) 文件 保护 (保护 用 户 和 系统 文件 ,防止 非 授权 用 户 访问 ) 访 问 控制 .身份 认证 (识别 请 求 
访问 的 用 户 权 限 和 身份 ) 等 。 

网 络 操作 系统 主要 有 以 下 两 大 类 安全 漏洞 : 
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”输入 /输出 (IO) 非 法 访问 。 在 一 些 操作 系统 中 ,一 旦 I/O 操作 被 检查 通过 后 ,该 操 
作 系 统 就 继续 执行 操作 而 不 再 进行 检查 ,这 样 就 可 能 造成 后 续 操作 的 非法 访问 。 某 
些 操作 系统 使 用 公共 的 系统 缓冲 区 ,任何 用 户 都 可 以 搜索 该 缓冲 区 。 如 果 该 缓冲 区 
没有 严格 的 安全 措施 ,那么 其 中 的 机 密 信息 (用 户 的 认证 数据 、 身 份 证 号 码 、 密 码 等 ) 
就 有 可 能 被 泄露 。 

操作 系统 陷 门 。 某 些 操作 系统 为 了 维护 方便 ,使 系统 兼容 性 和 开放 性 更 好 ,在 设计 
时 预 留 了 一 些 端口 或 保留 了 某 些 特殊 的 管理 程序 功能 。 但 这 些 端 口 和 功能 在 安全 
性 方面 未 受到 严格 的 监视 和 控制 ,为 黑客 留 下 了 人 入侵 系统 的 “后 门 ”。 


221 操作 系统 安全 的 概念 


操作 系统 安全 保护 的 研究 ,通常 包括 以 下 内 容 : 第 一 ,操作 系统 本 身 提供 的 安全 功能 和 
安全 服务 。 现 代 操 作 系 统 本 身 往往 要 提供 一 定 的 访问 控制 .认证 和 授权 等 方面 的 安全 服务 。 
如 何 对 操作 系统 本 身 的 安全 性 能 进行 研究 和 开发 ,使 之 符合 特定 的 环境 和 需求 ,是 操作 系统 
安全 保护 的 一 个 方面 。 第 二 ,针对 各 种 常用 的 操作 系统 ,进行 相关 配置 ,使 之 能 正确 对 付 和 
防御 各 种 入 侵 。 第 三 ,保证 网 络 操作 系统 本 身 所 提供 的 网 络 服务 能 得 到 安全 配置 。 

网 络 操 作 系 统 安全 是 整个 网 络 系 统 安全 的 基础 。 操 作 系 统 安全 机 制 主要 包括 访问 控制 
和 隔离 控制 。 隔 离 控 制 主要 有 物理 (设备 或 部 件 ) 隔 离 、 时 间隔 离 .小 辑 隔离 和 加 密 隔离 等 实 
现 方法 ; 而 访问 控制 是 安全 机 制 的 关键 ,也 是 操作 系统 安全 中 最 有 效 、 最 直接 的 安全 措施 。 

访问 控制 系统 一 般 包括 : 

。 主 体 (subject)。 主 体 是 指 发 出 访问 操作 、 存 取 请 求 的 主动 方 , 它 包 括 用 户 、 用 户 组 、 

主机 终端 或 应 用 进程 等 。 主 体 可 以 访问 客体 。 

。 客体 (object)。 客 体 是 指 被 调用 的 程序 或 要 存 取 的 数据 访问 , 它 包 括 文件 ,程序 、 内 

存 . 目 录 、 队 列 、 进 程 间 报 文 .1/O 设备 和 物理 介质 等 。 
。 安全 访问 政策 。 安 全 访问 政策 是 一 套 规则 ,可 用 于 确定 一 个 主体 是 否 对 客体 拥有 访 
问 能 力 。 

操作 系统 内 的 活动 都 可 以 看 做 是 主体 对 计算 机 系统 内 部 所 有 客体 的 一 系列 操作 。 操 作 
系统 中 任何 含有 数据 的 东西 都 是 客体 ,可 能 是 一 个 字 节 、 字 段 或 记录 程序 等 。 能 访问 或 使 用 
客体 活动 的 实体 是 主体 ,主体 一 般 是 用 户 或 者 代表 用 户 进行 操作 的 进程 。 

在 计算 机 系统 中 ,对 于 给 定 的 主体 和 客体 ,必须 有 一 套 严格 的 规则 来 确定 一 个 主体 是 否 
被 授权 获得 对 客体 的 访问 。 

一 般 来 说 ,如 果 一 个 计算 机 系统 是 安全 的 , 即 指 该 系统 能 通过 特定 的 安全 功能 控制 主体 
对 客体 信息 的 访问 ,也 就 是 说 只 有 经 过 授权 的 主体 才能 读 、 写 、 创 建 或 删除 客体 信息 。 


222 网 络 的 访问 控制 


1 访问 控制 的 概念 


为 了 系统 信息 的 保密 性 和 完整 性 ,对 网 络 系统 需要 实施 访问 控制 。 访 问 控制 也 叫 授权 ， 
它 是 对 用 户 访问 网 络 系统 资源 进行 的 控制 过 程 。 只 有 被 授予 一 定 权限 的 用 户 , 才 有 资格 去 
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访问 有 关 的 资源 。 访 问 控制 具体 包括 两 方面 含义 ,一 是 指 对 用 户 进入 系统 的 控制 ,最 简单 最 
常用 的 方法 是 用 户 账户 和 口令 限制 ,其 次 还 有 一 些 身份 验证 措施 ; 二 是 用 户 进入 系统 后 对 
其 所 能 访问 的 资源 进行 的 限制 ,最 常用 的 方法 是 访问 权限 和 资源 属性 限制 。 

访问 控制 所 考虑 的 是 对 主体 访问 客体 的 控制 。 主 体 一 般 是 以 用 户 为 单位 实施 访问 控制 
(划分 用 户 组 只 是 对 相同 访问 权限 用 户 的 一 种 管理 方法 ) ,此 外 ,网 络 用 户 也 有 以 IP 地 址 为 
单位 实施 访问 控制 的 。 客 体 的 访问 控制 范围 可 以 是 整个 应 用 系统 ,包括 网 络 系统 、 服 务 器 系 
统 、 操 作 系统 数据库 管 理 系统 以 及 文件 ,数据库 数据 库 中 的 某 个 表 甚 至 是 某 个 记录 或 字段 
等 。 一 般 来 说 ,对 整个 应 用 系统 的 访问 ,宏观 上 通常 是 采用 身份 鉴别 的 方法 进行 控制 ,而 微 
观 控制 通常 是 指 在 操作 系统 数据库 管理 系统 中 所 提供 的 用 户 对 文件 或 数据 库 表 、 记 录 / 字 
段 的 访问 所 进行 的 控制 。 


2. 访问 控制 的 类 型 


访问 控制 可 分 为 自主 访问 控制 和 强制 访问 控制 两 大 类 。 

所 谓 自主 访问 控制 ,是 指 由 系统 提供 用 户 有 权 对 自身 所 创建 的 访问 对 象 (文件 .数据 表 
等 ) 进 行 访问 ,并 可 将 这 些 对 象 的 访问 权 授予 其 他 用 户 或 从 授予 权限 的 用 户 处 收回 其 访问 权 
限 。 访 问 对 象 的 创建 者 还 有 权 进 行 “权限 转让 ”, 即 将 “授予 其 他 用 户 访问 权限 ”的 权限 转让 
给 别 的 用 户 。 需 要 指出 的 是 ,在 一 些 系统 中 ,往往 是 由 系统 管理 员 充 当 访问 对 象 的 创建 者 ， 
并 进行 访问 授权 ,而 在 其 后 通过 “授权 转让 ”将 权限 转让 给 指定 用 户 。 

自主 访问 控制 允许 用 户 自行 定义 其 所 创建 的 数据 , 它 以 一 个 访问 矩阵 来 表示 包括 读 、 
写 .执行 .附加 以 及 控制 等 访问 模式 。 

所 谓 强制 访问 控制 ,是 指 由 系统 (通过 专门 设置 的 系统 安全 员 ) 对 用 户 所 创建 的 对 象 进 
行 统一 的 强制 性 控制 ,按照 规定 的 规则 决定 哪些 用 户 可 以 对 哪些 对 象 进行 何 种 操作 系统 类 
型 的 访问 ,即使 是 创建 者 用 户 ,在 创建 一 个 对 象 后 ,也 可 能 无 权 访问 该 对 象 。 

强制 访问 控制 策略 以 等 级 和 范畴 作为 其 主 ,客体 的 敏感 标记 。 这 样 的 等 级 和 范畴 ,必须 
由 专门 设置 的 系统 安全 员 ,通过 由 系统 提供 的 专门 界面 来 进行 设置 和 维护 ,敏感 标记 的 改变 
意味 着 访问 权限 的 改变 。 因 此 可 以 说 ,所 有 用 户 的 访问 权限 完全 是 由 安全 员 根 据 需 要 确定 
的 。 强 制 访问 控制 还 有 其 他 安全 策略 ,如 * 角 色 授权 管理 "。 该 策略 将 系统 中 的 访问 操作 按 
角色 进行 分 组 管理 ,一 种 角色 执行 一 种 操作 , 巾 系统 安全 员 进 行 统一 授权 。 当 授予 某 一 用 户 
某 个 角色 时 ,该 用 户 就 有 执行 该 角色 所 对 应 的 一 组 操作 的 权限 。 当 安全 员 撤 销 其 授予 用 户 
的 某 一 角色 时 ,相应 的 操作 权限 也 同时 被 撤销 。 


3. 访问 控制 措施 


访问 控制 是 保证 网 络 系统 安全 的 主要 措施 ,也 是 维护 网 络 系统 安全 ,保护 网 络 资源 的 重 
要 和 手段。 通常 具体 的 访问 控制 措施 有 以 下 几 种 。 

1) 入 网 访问 控制 

和信 网 访问 控制 是 为 用 户 安全 访问 网 络 设置 的 第 一 道 关 口 。 它 是 通过 对 某 些 条 件 的 设置 
来 控制 用 户 是 否 能 进入 网 络 的 一 种 安全 控制 方法 。 它 能 控制 哪些 用 户 可 以 登录 网 络 , 在 什 
么 时 间 、 地 点 (站 点 ) 登 录 网 络 等 。 

入 网 访问 控制 主要 就 是 对 要 进入 系统 的 用 户 进 行 识别 ,并 验证 其 合法 身份 。 系 统 可 以 
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采用 用 户 账 户 和 口令 .账户 锁定 、 安 全 标识 符 及 其 他 一 些 身份 验证 等 方法 实现 。 

(1) 用 户 名 和 口令 验证 

每 个 用 户 在 进行 网 络 注册 时 ,都 要 由 系统 指定 或 由 用 户 自己 选择 一 个 用 户 账户 (用 户 
名 ) 和 用 户口 令 。 这 些 用 户 账户 及 口令 信息 都 被 存储 于 系统 的 用 户 信息 数 据 库 中 。 也 就 是 
说 ,每 个 要 入 网 的 合法 用 户 都 有 一 个 系统 认可 的 用 户 名 和 用 户口 令 。 

当 用 户 要 登录 网 络 时 ,首先 要 输入 自己 的 用 户 名 和 用 户口 令 ,然后 服务 器 将 验证 用 户 输 
入 的 用 户 名 和 用 户口 令 信 息 是 否 合法 。 如 果 验 证 通过 ,用 户 即 可 进入 网 络 ,去 访问 其 所 需要 
且 有 权 访 问 的 资源 ,否则 用 户 将 被 拒 于 网 络 之 外 。 

为 保证 用 户口 令 的 安全 性 ,要 从 口令 的 选取 和 口令 的 保护 两 方面 着 眼 。 

一 般 对 口令 的 选取 有 一 定 的 限制 ,比如 : 口令 长 度 尽量 长 (不 得 少 于 若干 个 字符 ); 口 
令 不 能 是 一 个 普通 的 英语 单词 英文 名 字 、 了 昵称 或 其 变形 ; 口令 中 要 含有 一 些 特殊 字符 ; 口 
令 中 要 字母 .数字 和 其 他 符号 交叉 混用 ; 不 要 使 用 系统 的 默认 口令 ; 不 要 选择 用 户 的 明显 
标识 作为 口令 (如 用 户 的 电话 号 码 .出 生日 期 .自己 或 家 人 姓名 的 拼音 组 合 .自家 的 门 /车 牌 
号 等 )。 这 样 的 口令 选取 限制 可 有 效 地 减少 口令 被 猿 中 的 可 能 性 。 

一 般 进 行 口令 保护 的 方式 有 : 不 要 将 口令 告诉 别人 ,不 要 与 别人 共用 一 个 口令 ; 不 要 
将 其 记录 在 笔记 本 或 计算 机 等 明显 位 置 ; 要 定期 或 不 定期 地 更 改口 令 ; 使 用 系统 安全 程序 
测试 口令 的 安全 性 ; 重要 的 口令 要 进行 加 密 处 理 等 。 

(2) 账户 锁定 

为 了 防止 非法 用 户 冒 充 合法 用 户 尝 试用 穷 举 法 猜测 口令 而 登录 系统 ,系统 应 为 用 户 设 
定 尝 试 登录 的 最 大 次 数 。 在 达到 该 次 数 数值 后 ,系统 将 自动 锁定 该 用 户 , 不 允许 其 再 尝试 
登录 。 

(3) 用 户 账户 的 默认 限制 

必要 时 ,系统 为 用 户 建立 的 账户 中 还 可 包含 用 户 的 入 网 时 间 、 入 网 站 点 、 入 网 次 数 和 用 
户 访 问 的 资源 容量 等 限制 。 

。 入 网 时 间 限 制 。 系 统 可 对 用 户 的 入 网 时 间 段 加 以 限制 。 比 如 限制 某 用 户 只 能 在 一 
星期 中 的 星期 一 \ 三 、 五 上 午 8: 00~~11: 00 点 时 间 段 内 入网 , 除 此 时 间 段 外 用 户 均 
不 得 入 网 。 
入 网 站 点 限制 。 管 理 员 可 对 用 户 入 网 使 用 的 站 点 进行 限制 。 比 如 限制 某 用 户 只 能 
在 第 15 号 机 上 入 网 。 这 种 限制 可 采取 用 户 账户 与 站 点 的 物理 地 址 绑 定 的 方法 
实现 。 
入 网 次 数 限制 。 系 统 可 设 定 对 同一 个 用 户 名 的 入 网 次 数 进行 限制 。 
资源 容量 限制 。 系 统 可 以 对 某 用 户 账 号 使 用 的 磁盘 空间 进行 限制 ,或 用 户 对 交 费 网 
络 的 访问 “资费 ”用 尽 时 ,系统 应 能 对 该 账户 进行 限制 ,不 允许 其 再 登录 网 络 。 

2) 权限 访问 控制 

一 个 用 户 登 录入 网 后 ,并 不 意味 着 他 能 够 访问 网 络 中 的 所 有 资源 。 用 户 访问 网 络 资源 
的 能 力 将 受到 访问 权限 的 限制 。 访 问 权限 控制 一 个 用 户 能 访问 哪些 资源 (目录 和 文件 ) ,以 
及 对 这 些 资源 能 进行 哪些 操作 。 

在 系统 为 用 户 指定 用 户 账户 后 ,系统 根据 该 用 户 在 网 络 系统 中 要 做 的 工作 及 相关 要 求 ， 
可 为 用 户 访问 系统 资源 设 定 访问 权限 。 用 户 要 访问 的 系统 资源 包括 目录 、 子 目录 文件 和 设 
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备 ; 用 户 对 这 些 资源 的 访问 操作 包括 读 、 写 ,建立 \、 删 除 、 更 改 等 。 

3) 属性 访问 控制 

属性 是 文件 .目录 等 资源 的 访问 特性 。 系 统 可 直接 对 目录 、 文 件 等 资源 规定 其 访问 属 
性 。 通 过 设置 资源 属性 可 以 控制 用 户 对 资源 的 访问 。 属 性 是 在 权限 安全 性 的 基础 上 提供 的 
进一步 的 安全 性 。 

属性 是 系统 直接 设置 给 资源 的 , 它 对 所 有 用 户 都 具有 约束 权 , 一 旦 目录 ,文件 等 资源 具 
有 了 某 些 属性 ,用 户 ( 包 括 超级 用 户 ) 都 不 能 进行 超出 这 些 属性 规定 的 访问 , 即 不 论 用 户 的 访 
问 权限 如 何 ,只 按照 资源 自身 的 属性 实施 访问 控制 。 如 某 文 件 具 有 只 读 属 性 ,对 其 有 读 写 权 
限 的 用 户 也 不 能 对 该 文件 进行 写 操作 。 要 修改 目录 或 文件 的 属性 ,必须 有 对 该 目录 或 文件 
的 修改 权 ; 要 改变 用 户 对 目录 或 文件 的 权限 ,用 户 必 须 具 有 对 该 目录 或 文件 的 访问 控制 权 。 
属性 可 以 控制 访问 权限 不 能 控制 的 权限 ,如 可 以 控制 一 个 文件 是 否 可 以 同时 被 多 个 用 户 使 
用 等 。 

4) 身份 验证 

身份 验证 是 证 明 某 人 是 否 为 合法 用 户 的 过 程 , 它 是 信息 安全 体系 中 的 重要 组 成 部 分 。 

身份 验证 的 方法 有 很 多 种 ,不 同方 法 适合 于 不 同 的 环境 ,网 络 组 织 可 以 根据 自己 的 情况 
加 以 选择 。 以 下 是 几 种 常用 的 身份 验证 方法 。 
用 户 名 和 口令 验证 。 这 是 一 种 最 简单 的 身份 验证 方法 ,也 是 大 家 用 得 最 多 、 最 熟悉 
的 方法 ,在 前 面 已 经 有 所 介绍 。 
数字 证 书 验证 。 数 字 证 书 是 CA 认证 中 心 签发 的 用 于 对 用 户 进行 身份 验证 的 一 种 
“执照 ”>。 数 字 证 书 的 内 容 将 在 5.7. 3 节 中 介绍 。 
Security ID 验证 。Security ID 已 成 为 令 牌 身份 验证 事实 上 的 标准 ,许多 应 用 软件 都 
能 配置 成 支持 Security ID 作为 身份 验证 手段 的 模式 。Security ID 需要 有 一 个 能 够 
验证 用 户 身份 的 硬件 装置 (安全 卡 ) ,该 卡 上 有 一 个 显示 一 串 数字 的 液晶 屏幕 ,其 数 
字 每 分 钟 变化 一 次 。 用 户 在 登录 时 先 输入 自己 的 用 户 名 ,然后 输入 卡 上 显示 的 数 
字 。 系 统 通过 对 用 户 输入 的 数字 进行 验证 ,如 果 数 字 正 确 , 用 户 则 通过 了 身份 验证 ， 
即 可 进入 系统 了 。 
。 用 户 的 生理 特征 验证 。 该 验证 是 通过 对 用 户 人 体 的 一 处 或 多 处 生理 特征 检测 而 进 
了 的 验证 。 众 所 周知 ,每 个 人 的 指纹 是 不 一 样 的 ,因此 指纹 是 最 常见 的 人 体 特 征 , 可 
来 进行 身份 验证 。 此 外 ,人 们 的 视网膜 、 面 部 轮廓 笔迹、 声音 等 都 可 作为 人 体 特 
征用 来 进行 身份 验证 。 
智能 卡 验证 。 智 能 卡 的 外 观 和 手感 就 像 一 张 信 用 卡 ,但 其 原理 就 像 一 台 小 型 计算 
机 。 智 能 卡 是 可 编程 的 , 卡 里 有 一 个 处 理 器 ,具有 存储 和 处 理 能 力 , 可 用 来 对 数值 进 
行 运算 ,可 无 数 次 地 接收 写 和 人 信息 ,可 下 载 应 用 软件 和 数据 ,然后 可 多 次 反复 地 使 用 
它 。 用 户 在 登录 计算 机 网 络 时 ,可 用 它 来 证 明 自 己 的 身份 。 不 仅 如 此 , 它 还 可 以 代 
替身 份 证 .旅行 证 件 、 信 用 卡 、 出 入 证 等 多 种 现代 生活 中 离 不 开 的 证 件 。 

5) 网 络 端口 和 节点 的 安全 控制 

网 络 中 服务 器 的 端口 往往 使 用 自动 回 呼 设 备 .静默 调制 解 调 器 加 以 保护 ,并 以 加 密 的 形 
式 来 识别 节点 的 身份 。 自 动 回 呼 设备 用 于 防止 假冒 合法 用 户 ,静默 调制 解 调 器 用 以 防范 黑 
客 的 自动 拨号 程序 对 计算 机 进行 的 攻击 。 网 络 还 常 对 服务 器 端 和 用 户 端 采 取 控 制 ,用 户 必 
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须 携 带 证 实 身份 的 验证 器 (如 智能 卡 、 磁 卡 、 安 全 密码 发 生 器 等 ) ,在 对 用 户 的 身份 进行 验证 
合法 之 后 , 才 允 许 用 户 进入 用 户 端 。 然 后 ,用 户 端 和 服务 器 端 再 进行 相互 验证 。 


23 Windows NT 系统 安全 


Windows NT 系统 在 设计 之 初 就 将 网 络 的 安全 问题 作为 其 主要 功能 之 一 。Windows 
NT 就 是 被 设计 建立 在 一 套 完 整 的 安全 机 制 基础 上 的 ,因而 ,使 用 Windows NT 的 任何 部 门 
都 必须 明确 本 系统 的 人 网 限制 .访问 控制 .信息 保护 和 系统 审核 的 要 求 。 通 过 对 Windows 
NT 系统 的 配置 ,可 以 对 信息 进行 安全 管理 和 控制 非法 用 户 的 访问 。Windows NT 3. 5 和 
Windows NT 4.0 版 都 已 达到 TCSEC 的 C2 安全 级 ; 其 部 分 程序 ,如 身份 验证 ,审计 和 把 操 
作 员 和 管理 员 账 号 分 开 等 功能 达到 了 更 高 的 B2 安全 级 。 在 Windows NT 中 ,C2 级 安全 特 
性 表现 为 : 可 自由 决定 访问 控制 (允许 管理 员 和 用 户 自己 定义 对 所 拥有 对 象 的 访问 控制 ); 
对 象 重用 ; 身份 确认 和 验证 ; 安全 审计 (建立 和 维护 访问 记录 以 便于 管理 员 进 行 审 计 ) 。 


2.3.1 Windows NT 的 安全 基础 


Windows NT 系统 可 使 用 户 将 网 络 资源 作为 对 象 组 进行 管理 ,并 实施 身份 验证 和 访问 
控制 。 只 有 将 部 门 的 安全 要 求 与 Windows NT 系统 底层 的 安全 机 制 有 机 地 结合 起 来 ,才能 
充分 发 挥 Windows NT 的 各 项 安全 特性 。 


1. Windows NT 中 的 对 象 


Windows NT 的 安全 机 制 是 建立 在 对 象 的 基础 上 的 ,因此 ,对 象 的 概念 与 安全 问题 密切 
相关 。 

对 象 是 构成 Windows NT 操作 系统 的 基本 元 素 , 它 可 以 是 文件 目录、 存储 器 、 驱 动 器 
或 系统 程序 。 

对 象 为 Windows NT 操作 系统 提供 了 较 高 的 安全 级 别 。 对 外 部 用 户 , 其 数据 封装 在 对 
象 中 ,并 只 按 对 象 的 功能 所 定义 的 方式 提供 数据 。 对 所 有 对 象 的 操作 都 必须 事先 得 到 授权 
并 由 操作 系统 来 执行 。 这 就 建立 起 一 个 保护 层 , 可 以 有 效 地 防止 外 部 程序 直接 访问 网 络 数 
据 。Windows NT 正 是 通过 组 织 程序 直接 访问 对 象 来 获得 较 好 的 安全 性 的 。 

在 Windows NT 中 ,对 象 的 属性 可 由 安全 描述 器 和 存储 标识 来 设 定 和 保护 。 可 被 设 定 
的 属性 包括 : 对 象 的 所 有 者 和 使 用 者 的 安全 身份 标识 (SID) ,可 移植 性 操作 系统 界面 子 系统 
使 用 的 组 安全 身份 标识 (GID) ,用户 和 组 访问 权限 的 访问 控制 列表 (ACL) ,审核 信息 生成 的 
系统 访问 控制 列表 (ACL)。 


2. Windows NT 中 的 网 络 模型 


Windows NT 系统 中 有 两 种 基本 的 网 络 模型 : 工作 组 模型 和 域 模型 。 

1) 工作 组 模型 

工作 组 是 一 组 由 网 络 连接 在 一 起 的 计算 机 群 ,但 它们 的 资源 与 管理 是 分 散在 网 络 的 各 
个 计算 机 上 的 ,与 域 的 集中 式 管理 不 同 。 每 台 运 行 Windows NT 的 计算 机 都 有 自己 的 目录 
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数据 库 。 网 络 中 没有 专门 的 域 控制 器 和 服务 器 。 这 是 一 种 “对 等 网 ”结构 ,工作 组 中 的 每 台 
计算 机 既 可 以 是 工作 站 ,也 可 以 是 服务 器 。 它 们 分 别管 理 自己 账号 的 同时 ,只 要 经 过 适当 的 
权限 设置 ,每 台 计算 机 就 可 访问 其 他 计算 机 的 资源 ,也 可 以 提供 资源 给 其 他 计算 机 使 用 。 这 
种 结构 的 设计 和 实现 容易 ,易于 维护 ,适合 于 用 户 较 少 的 网 络 ,一 旦 用 户 增多 ,效率 将 迅速 
下 降 。 

2) 域 模型 

域 (Domain) 是 一 个 共享 公共 目录 数据 库 和 安全 策略 的 计算 机 及 用 户 的 集合 , 它 提供 登 
录 认 证 ,并 具有 唯一 的 域名 。 域 也 是 Windows NT 网 络 环境 中 一 个 基本 的 安全 集中 管理 单 
位 ,是 Windows NT 目录 服务 的 基本 单元 。 在 一 个 单机 工作 站 上 , 域 就 是 计算 机 本 身 。 每 
个 域 都 有 自己 的 安全 策略 以 及 与 其 他 域 相关 的 安全 关系 。 

一 个 域 必须 有 一 台 运 行 Windows NT Server 并 被 配置 为 主 域 控 制 器 的 计算 机 。 为 了 
安全 起 见 , 还 可 以 设置 一 台 备 份 域 控 制 器 ,平时 它 可 分 担 主 域 控制 器 的 负荷 。 一 旦 主 域 
控制 器 出 现 故障 ,备份 域 控制 器 将 自动 “升格 ?为 主 域 控 制 器 ,从 而 可 保证 整个 域 仍 能 正 
常 工作 。 

域 与 域 之 间 要 建立 一 种 连接 关系 ,叫做 信任 关系 或 委托 关系 。 这 种 关系 可 以 执行 对 经 
过 委托 的 域内 用 户 的 登录 审核 工作 。 域 之 间 经 过 委托 后 ,用 户 只 要 在 某 一 个 域内 有 一 个 用 
户 账号 ,就 可 以 使 用 建立 了 委托 关系 的 其 他 域内 的 网 络 资源 。 信 任 关系 分 为 单 向 和 双向 两 
种 。 若 A 域 信任 委托 B 域 , 则 B 域 的 用 户 可 以 访问 A 域 的 资源 ,而 A 域 的 用 户 则 不 能 访问 
B 域 的 资源 ,这 就 是 单 向 委托 ; 若 A 域 的 用 户 也 想 访问 B 域 的 资源 ,那么 必须 再 建立 B 域 信 
任 A 域 的 委托 关系 ,这 就 是 双向 委托 。 


3. 用 户 账户 、 权 力 和 权限 


每 个 要 登录 Windows NT 的 用 户 ,都 要 有 一 个 用 户 账户 ,该 账户 是 由 系统 管理 员 创建 
的 ,用 户 账户 中 包括 用 户 的 名 称 ` 口 令 . 用 户 权力 、 访 问 权限 等 信息 。 创 建 账 户 后 , Windows 
NT 再 为 账户 指定 一 个 唯一 的 安全 标识 符 (SID) 。 

用 户 和 组 都 有 一 定 的 权力 ,权力 定义 了 用 户 在 系统 中 能 做 什么 。 用 户 和 组 的 普通 权力 
有 从 网 络 中 访问 计算 机 、 向 域 中 添加 工作 站 和 成 员 服务 器 、 备 份 文件 和 目录 改变 系统 时 间 、 
强制 从 远程 系统 退出 、 装 / 印 设备 驱动 器 .本 地 登录 恢复 文件 和 目录 等 。 这 些 权力 大 多 数 只 
指定 给 负责 管理 的 用 户 。 

用 户 和 组 要 有 权限 才能 使 用 对 象 。 权 限 可 由 系统 管理 员 赋予 用 户 , 也 可 由 文件 .目录 等 
对 象 的 所 有 者 赋予 用 户 。Windows NT 的 权限 有 列表 、 读 取 、 添 加 、 修 改 、 添 加 并 读 取 、 完 全 
控制 等 。 


4. 目录 数据 库 


目录 数据 库 是 整个 网 络 系统 中 不 可 缺少 的 重要 组 成 部 分 。 目 录 数 据 库 用 来 存放 域 中 所 
有 的 安全 数据 和 用 户 账户 信息 。 用 户 登 录 时 ,用 它 来 核对 、 检 验 用 户 输入 的 数据 是 否 符合 其 
相应 的 身份 和 使 用 权限 。 该 数据 库 被 存放 在 主 域 控制 器 中 ,在 备份 域 控制 器 中 也 有 它 的 
备份 。 
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5. 注册 表 


注册 表 是 包括 应 用 程序 、 硬 件 设备 .设备 驱动 程序 配置 .网 络 协议 和 网 卡 设置 等 信息 的 
数据 库 。 它 是 一 个 具有 容错 功能 的 数据 库 ,如 果 系统 出 现 错误 ,日 志文 件 使 用 Windows NT 
能 够 恢复 和 修改 数据 库 , 以 保证 系统 正常 运行 。 注 册 表 数据 结构 包含 4 个 子 树 : HKEY_ 
LOCAL_ MACHINE( 含 有 本 地 系统 的 硬件 设置 .操作 系统 设置 .启动 控制 数据 和 驱动 器 驱 
动 程序 等 部 分 信息 ) .HKEY_CLASSES_ROOT( 含 有 与 对 象 的 连接 及 文件 级 关联 相关 的 信 
息 ) .HKEY_CURRENT_USER( 含 有 正 登 录 上 网 的 用 户 信息 ) 和 HKEY_USERS( 含 有 所 
有 登录 入 网 的 用 户 信息 )。 


232 Windows NT 的 安全 性 机 制 和 技术 


1. 安全 性 机 制 


Windows NT Server 采用 域 模型 来 建立 网 络 安全 环境 。 每 个 域 都 有 一 个 唯一 的 名 称 ， 
并 由 一 个 域 控制 器 对 一 个 域 的 网 络 用 户 和 资源 进行 安全 管理 。 这 种 域 模型 采用 的 是 
Client/Server 结构 。Windows NT 的 安全 管理 主要 包括 账号 规则 .用 户 权限 规则 、 审 计 规 
则 和 域 管理 机 制 等 。 

1) 账号 规则 

账号 规则 就 是 对 用 户 账号 和 口令 进行 安全 管理 , 即 人 网 访问 控制 。 

Windows NT 的 安全 机 制 可 根据 用 户 请 求 ,为 要 入 网 的 用 户 分 配 一 个 用 户 账 号 和 用 户 
密码 ,以 便 进行 人 网 安全 控制 。 该 用 户 账号 是 Windows NT 基本 的 安全 措施 , 它 决定 着 用 
户 对 网 络 资源 的 访问 能 力 和 权限 。 用 户 账号 主要 包括 : 

。 用 户 名 。 每 个 用 户 都 要 使 用 用 户 名 来 标识 , 且 在 网 络 中 用 户 名 必须 是 唯一 的 。 用 户 
必须 使 用 用 户 名 登录 入 网 。 

。 用 户 密码 。 每 个 用 户 都 可 以 设置 一 个 密码 ,密码 将 被 加 密 并 存储 起 来 。 通 常 , 密 码 

要 有 最 小 长 度 、 最 短 修 改 周期 \ 最 长 使 用 期 限 、 密 码 唯一 性 等 限制 。 

此 外 ,用 户 账号 还 包括 对 用 户 入 网 的 时 间 限 制 、 入 网 站 点 限制 、 账 号 锁定 、 用 户 对 特定 文 
件 / 目 录 的 访问 权限 限制 和 用 户 使 用 的 网 络 环境 的 限制 等 。 

2) 用 户 权限 规则 

用 户 和 人 网 后 ,并 不 意味 着 能 访问 网 络 中 的 所 有 资源 。 用 户 访 问 网 络 资源 的 能 力 将 受到 
访问 权限 的 控制 。Windows NT Server 采用 两 类 访问 权限 : 用 户 访问 权限 和 资源 访问 
权限 。 

用 户 访问 权限 (也 称 共 享 权限 ) 规 定 了 入 网 用 户 以 何 种 权限 使 用 网 络 资源 。Windows 
NT Server 的 用 户 访问 权限 有 完全 控制 .更改 . 读 写 和 拒绝 访问 ,其 中 完全 控制 权限 最 大 。 

资源 访问 权限 是 由 资源 的 属性 决定 的 。 在 Windows NT 网 络 中 ,磁盘 文件 .目录 等 资 
源 的 属性 也 称 为 访问 权限 ,并 取决 于 Windows NT 系统 安装 时 所 采用 的 文件 系统 。 

Windows NT 网 络 支持 两 种 文件 系统 : FAT 和 NTFS。FAT 是 与 DOS 相 兼容 的 文件 
系统 ,但 不 提供 任何 资源 访问 权限 ,网 络 访问 控制 只 能 依赖 于 用 户 的 访问 权限 ; NTFS 是 
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Windows NT 特有 的 文件 系统 ,具有 严格 的 目录 和 文件 访问 限制 。 用 户 对 网 络 资源 的 访问 
将 受到 NTFS 访问 权限 和 用 户 访 问 权 限 的 双重 限制 ,以 NTFS 访问 权限 为 主 。 

NTFS 允许 用 两 种 访问 权限 来 控制 用 户 对 特定 目录 和 文件 的 访问 : 一 种 是 标准 权限 ， 
是 口径 较 宽 的 基本 安全 性 措施 ; 另 一 种 是 特殊 权限 ,是 口径 较 窗 的 精确 性 安全 措施 。 

在 标准 权限 中 ,文件 访问 权限 有 : No Access( 不 可 访问 )、Read( 读 ) .Change( 改 变 ) 和 
Full Control( 完 全 控制 ); 目录 访问 权限 有 : No Access( 不 可 访问 ) 、List( 列 表 )、Read( 读 )、 
Add( 增 加 )、Change( 改 变 ) 和 Full Control( 完 全 控制 )。 在 特殊 权限 中 ,文件 访问 权限 有 : 
Read( 读 )、Write( 写 )、Execute (执行 )、Delete (删除 )、Change Permission (改变 权限 ) 和 
Take Ownership( 获 取 所 有 权 ); 目录 访问 权限 也 是 这 六 种 ,但 它 与 文件 访问 权限 的 使 用 范 
围 和 限制 程度 不 同 。 

在 一 般 情况 下 ,使 用 标准 权限 来 控制 用 户 对 特定 目录 和 文件 的 访问 。 当 访问 权 不 能 满 
足 系 统 安全 性 需要 时 ,可 以 进一步 使 用 特殊 权限 进行 更 精确 的 安全 性 控制 。 如 果 Windows 
NT Server 安装 时 采用 的 是 NTFS, 则 系统 的 主要 目录 都 被 自动 设置 了 相应 的 标准 权限 ,在 
这 些 目录 中 所 建立 的 文件 将 自动 继承 其 父 目录 的 访问 权限 。 

3) 审核 规则 

审核 是 系统 对 用 户 操作 行为 的 跟踪 ,管理 员 可 根据 审核 结果 来 控制 用 户 的 操作 。 
Windows NT 可 对 如 下 事件 进行 审核 : 登录 和 注销 ,文件 和 对 象 的 访问 ,用户 权 限 的 使 用 、 
用 户 和 组 的 管理 .安全 性 策略 的 改变 ,启动 与 关闭 系统 的 安全 性 和 进程 的 跟踪 等 。 跟 踪 审核 
结果 存放 在 安全 日 志文 件 中 。 

4) 域 管理 机 制 

用 户 每 次 登录 的 是 整个 域 ,而 不 是 某 一 服务 器 。 用 户 所 在 域 的 物理 范围 即使 相隔 较 远 ， 
但 在 迎 辑 上 是 一 个 域 ,这 样 就 便于 管理 。 在 网 络 环境 下 ,使 用 域 管 理 机 制 就 显得 更 为 有 效 。 
在 Windows NT 中 , 域 所 使 用 的 安全 机 制 信息 或 用 户 账号 信息 都 存放 在 目录 数据 库 中 ,这 
就 是 安全 账号 管理 数据 库 。 目 录 数 据 库 存放 在 服务 器 中 并 复制 到 备份 服务 器 中 。 在 每 次 用 
户 登 录 时 ,都 要 通过 目录 数据 库 检查 用 户 账号 信息 ,因此 ,在 对 Windows NT 进行 维护 时 ， 
应 特别 注意 目录 数据 库 的 完整 性 。 


2. 安全 性 技术 


1) Kerberos 

Kerberos 是 Windows NT 系统 的 一 种 验证 协议 , 它 定 义 了 客户 端 和 密 钥 分 配 中 心 网 络 
验证 服务 间 的 接口 。Windows NT 5.0 密 钥 分 配 中 心 在 域 的 每 个 域 控 制 器 上 进行 验证 服 
务 。Kerberos 客户 端的 运行 是 通过 一 个 基于 SSPI( 一 个 Win32 的 安全 系统 API) 的 
Windows NT 安全 性 接口 来 实现 的 。Kerberos 协议 已 被 完全 集成 到 Windows NT 5.0 的 
安全 性 结构 中 。 

2) EFS 

Windows NT 中 提供 了 一 种 新 型 的 NTFS 加 密 文件 系统 (EFS)。 系 统 中 一 个 文件 在 使 
用 之 前 不 需要 手工 解密 ,因为 EFS 使 加 密 和 解密 对 用 户 都 是 透明 的 ,加 密 和 解密 过 程 自动 
地 发 生 在 向 硬盘 中 写 入 数据 和 从 硬盘 中 读 取 数 据 时 。 当 发 生 磁盘 输入 /输出 时 ,EFS 能 自 
动 地 检测 对 象 是 否 为 加 密 过 的 文件 。 如 果 是 加 密 文件 ,EFS 从 系统 的 密 钥 存储 区 得 到 一 个 
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用 户 的 私有 密 钥 。 如 果 访 问 加 密 文 件 的 用 户 不 是 原来 对 该 文件 加 密 的 用 户 , 他 的 私有 密 铀 
必然 与 加 密 用 户 的 私有 密 钥 是 不 同 的 ,因此 他 也 就 得 不 到 原文 件 的 解密 文件 ,而 得 到 的 却 是 
一 个 对 文件 的 拒绝 访问 信息 。 所 有 数据 加 密 和 解密 都 不 需要 用 户 的 参与 ,用 户 访问 一 个 经 
过 加 密 的 文件 或 目录 ,可 以 有 两 种 结果 , 那 就 是 允许 访问 或 拒绝 访问 。 

Windows NT 的 EFS 提供 从 单一 文件 到 整个 目录 的 加 密 和 解密 功能 。 如 果 对 于 一 个 
目录 进行 加 密 , 目 录 中 所 有 的 子 目录 和 文件 都 被 自动 加 密 。 

3) IP Security 

为 了 防止 来 自 网 络 内 部 的 攻击 , Windows NT 推出 一 种 新 的 网 络 安全 性 方案 一 一 IP 
Security (因特网 安全 协议 )。 它 符合 ETF (Internet 工程 部 ) 的 IP 安全 性 协议 标准 ,支持 
在 网 络 层 一 级 的 验证 ,数据 完整 性 和 加 密 。IP Security 与 Windows NT Server 内 置 的 安全 
性 集成 在 一 起 ,为 维护 安全 的 Internet 和 Intranet 通信 提供 了 一 个 理想 的 平台 。 

IP Security 使 用 基于 工业 标准 的 算法 和 全 面 的 安全 性 管理 ,为 发 生 在 企业 防火 墙 两 侧 
的 基于 TCP/IP 的 通信 提供 了 安全 性 支持 ,使 Windows NT 能 够 同时 抵御 来 自 内 部 和 外 部 
的 攻击 。 

Windows NT 的 IP Security 功能 的 实现 是 透明 的 。 利 用 IP Security 功能 ,网 络 管理 员 
可 为 网 络 提供 一 层 强 有 力 的 保护 ,所 有 的 应 用 程序 都 自动 地 继承 了 Windows NT 的 新 安 
全 性 。 


233 Windows NT 的 安全 管理 措施 


Windows NT 在 进行 安全 管理 时 ,具体 可 采取 如 下 一 些 安全 措施 。 
1. 账号 和 密码 策略 


Windows NT 域 用 户 管理 器 通过 为 用 户 分 配 的 账号 和 密码 来 验证 用 户 身份 ,保证 系统 
资源 的 安全 。 用 户 账号 是 系统 根据 用 户 的 使 用 要 求 和 网 络 所 能 给 予 的 服务 为 用 户 分 配 的 ， 
账号 名 称 通 常 是 公开 的 。 用 户 账 号 密码 在 密码 的 选取 、 密 码 的 维护 等 方面 都 要 符合 安全 性 
要 求 和 使 用 方便 的 原则 ,用 户 账号 密码 是 保密 的 。 


2. 控制 授权 用 户 的 访问 


在 Windows NT 域 中 配置 适当 的 NTFS 访问 控制 可 增强 网 络 安全 。 在 系统 默认 情况 
下 ,每 建立 一 个 新 的 共享 ,Everyone 用 户 就 享有 “完全 控制 ”的 共享 权限 ,因此 在 使 用 时 要 取 
消 或 更 改 默 认 情 况 下 Everyone 组 的 “完全 控制 "权限 ,要 始终 设置 用 户 所 能 允许 的 最 小 目录 
和 文件 的 访问 权限 。 为 安装 后 默认 的 Guest 用 户 设置 密码 ,以 防 被 黑客 利用 。 

为 每 个 用 户 指定 一 个 工作 组 ,为 工作 组 指定 文件 和 目录 访问 权限 ,这 样 , 当 某 个 用 户 角 
色 变 更 时 ,只 要 把 该 用 户 从 工作 组 中 删除 或 指定 他 属于 另 一 组 , 即 可 收回 或 更 改 该 用 户 的 访 
问 权限 。 所 以 说 ,将 用 户 以 “组 ”的 方式 进行 管理 ,是 用 户 管理 的 一 个 有 效 方法 。 


3. 及 时 下 载 和 更 新 补丁 程序 
经 常 光顾 安全 网 站 ,下 载 最 新 补丁 程序 ,或 用 最 新 的 Service Pack 升级 Windows NT 
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Server, 因 为 Service Pack 中 有 所 有 补丁 程序 和 新 发 表 的 诸多 安全 补丁 程序 。 
4. 控制 远程 访问 服务 


远程 访问 是 入 侵 者 攻击 Windows NT 系统 的 常用 手段 ,因此 可 以 采取 控制 远程 服务 的 
方法 减少 对 系统 的 攻击 。Windows NT 防止 外 来 人 侵 最 好 的 功能 是 认证 系统 。Windows 
95/98 和 Windows NT Workstation 客户 机 不 仅 可 以 交换 用 户 ID 和 口令 数据 ,而 且 还 使 用 
Windows 专用 的 响应 协议 ,这 可 确保 不 会 出 现 相同 的 认证 数据 ,并 可 以 有 效 地 阻止 内 部 黑 
客 捕 提 网 络 信 息 包 。 如 条 件 允 许 ,可 使 用 回 叫 安全 机 制 ,并 尽量 采用 数据 加 密 技术 ,以 保证 
数据 安全 。 


5. 启动 审查 功能 


为 防止 未 经 授权 的 访问 ,可 以 利用 域 用 户 管理 器 启用 安全 审查 功能 ,以 便 在 安全 日 志 
记录 未 经 授权 的 访问 企图 ,以 便 尽 早 发 现 安全 漏洞 并 及 时 补救 。 但 要 结合 工作 实际 ,设置 合 
理 的 审计 规则 。 


6. 应 用 系统 的 安全 


在 Windows NT 上 运行 的 应 用 系统 ,应 及 时 通过 各 种 途径 获得 补丁 程序 ,以 解决 其 安 
全 问题 。 把 IIS 中 的 sample scripts \iisadmin 和 msadc 等 Web 目录 设置 为 禁止 匿名 访问 并 
限制 IP 地 址 。 把 FTP .Telnet 的 TCP 端口 改 为 非 标准 端口 。Web 目录 、CGI 目录 scripts 
目录 和 WinNT 目录 只 允许 管理 员 完 全 控制 。 凡 是 涉及 访问 与 系统 有 关 的 重要 文件 , 除 系 
统管 理 员 账号 Administrator 外 ,其 他 账号 均 应 设置 为 只 读 权 限 。 


7. 取消 TCP/IP 上 的 NetBIOS 绑 定 


Windows NT 系统 管理 员 可 以 通过 构造 目标 站 NetBIOS 名 与 其 IP 地 址 之 间 的 影像 ， 
对 Internet 或 Intranet 上 的 其 他 服务 器 进行 管理 ,但 非法 用 户 也 可 从 中 找到 可 乘 之 机 。 如 
果 这 种 远程 管理 不 是 必需 的 ,可 立即 取消 (通过 网 络 属性 的 绑 定 选项 ,取消 NetBIOS 与 
TCP/IP 之 间 的 绑 定 ) ,如 禁用 NetBIOS 端口 。 


8. 数据 保护 


由 于 网 络 系统 出 现 故 障 、 数 据 丢失 等 原因 致使 系统 不 能 可 靠 运行 或 系统 不 能 正常 启动 
时 ,Windows NT 系统 可 为 网 络 用 户 提供 快速 、 准 确 的 服务 ,如 系统 修复 或 数据 恢复 ,使 系统 
能 正常 工作 。 

Windows NT 系统 可 提供 以 下 的 数据 保护 方法 : 

1) 磁带 备份 

磁带 备份 就 是 将 主机 上 的 数据 备份 到 其 他 存储 介质 上 ,以 确保 数据 的 安全 ,这 是 最 简单 
也 是 最 经 济 的 数据 保护 方法 。 

磁带 备份 又 分 为 完全 备份 一 般 备份 .日 常备 份 、 增 量 备 份 和 差异 备份 。 

完全 备份 是 将 所 有 文件 (不 管 其 数据 是 否 有 变化 ) 都 存 人 备份 介质 中 ; 一 般 备份 就 是 只 
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将 没有 备份 的 数据 进行 备份 ,但 不 将 其 标记 为 “已 备份 ”; 日 常备 份 就 是 把 那些 一 天 中 发 生 
了 改变 却 还 没有 备份 的 数据 备份 ,也 不 将 其 标记 为 “已 备份 ”; 增 量 备份 就 是 只 备份 那些 自 
从 上 次 备份 以 来 发 生 了 变化 的 数据 ; 差异 备份 与 增 量 备份 差不多 ,只 是 差异 备份 不 将 备份 
后 的 数据 作 * 已 备份 ”标记 。 

2) UPS 

UPS( 不 间断 电源 ) 保 护 可 使 Windows NT 系统 在 突然 断 电 的 情况 下 继续 使 用 一 段 时 
间 ,在 电源 恢复 之 前 安全 关机 ,从 而 避免 因 断 电 造成 的 数据 丢失 。 

UPS 根据 其 工作 方式 的 不 同 可 分 为 后 备 式 UPS 和 在 线 式 UPS 两 种 。 后 备 式 UPS 只 
在 交流 电源 出 现 故障 时 启动 ,价格 较 便 宜 , 但 安全 性 能 较 差 ; 在 线 式 UPS 可 以 为 服务 器 提 
供电 压 保 护 , 平 时 工作 时 对 系统 电源 实行 监控 ,在 电源 掉 电 时 自动 接替 电源 工作 ,用 户 根本 
觉察 不 到 ,这 种 方式 的 安全 性 较 好 ,但 价格 也 较 昂 贵 。 

3) 系统 容错 

系统 容错 技术 可 使 计算 机 网 络 系统 在 发 生 故 障 时 ,保证 系统 仍 能 正常 运行 ,继续 完成 预 
定 的 工作 。Windows NT 网 络 系统 的 系统 容错 是 建立 在 标准 化 的 独立 磁盘 宛 余 阵 列 
(RAID) 基 础 上 的 , 它 采 用 软件 解决 方案 提供 了 三 种 RAID 容错 手段 (RAIDO、RAID1、 
RAID5) 和 扇 区 备份 。 


9. 系统 的 恢复 和 修复 


采用 了 容错 技术 的 系统 恢复 的 效果 较 好 。 但 如 果 没 有 采用 容错 技术 ,由 于 各 种 原因 使 
得 Windows NT 系统 无 法 正常 启动 时 ,无 论 采 取 什 么 方法 修复 系统 ,效果 都 是 有 限 的 。 以 
下 是 常用 的 Windows NT 系统 修复 或 恢复 方法 。 

1) 利用 “系统 配置 ”环境 恢复 Windows NT 系统 

当 用 户 由 于 新 增 了 驱动 程序 和 用 户 修改 了 注册 表 Registry 数据 库 后 而 无 法 正常 启动 
Windows NT 系统 时 ,可 以 尝试 利用 上 一 次 正确 的 “系统 配置 "环境 启动 系统 。 但 它 不 适合 
由 于 驱动 程序 或 文件 损坏 、 丢 失 所 造成 的 不 能 启动 的 情况 。 

2) 利用 “紧急 修复 磁盘 ”修复 被 损坏 的 Windows NT 系统 

在 Windows NT 系统 工作 站 或 服务 器 安装 时 ,都 允许 用 户 制作 一 张 “ 紧 急 修 复 磁 盘 ”。 
该 磁盘 中 包含 了 修复 系统 所 必需 的 数据 。 当 Windows NT 系统 文件 .启动 变量 或 启动 分 区 
被 损坏 时 ,无 法 利用 上 一 次 正确 * 系 统 配置 环境 启动 , 则 利用 该 磁盘 可 以 恢复 系统 正常 工 
作 。 作 为 网 络 管理 员 ,应 该 及 时 制作 该 磁盘 ,并 且 要 定期 进行 更 新 。 

3) 利用 “Windows NT 启动 盘 ? 修 复 被 损坏 的 系统 

当 Windows NT 系统 损坏 而 又 无 法 启动 时 ,用 户 可 以 利用 自己 制作 的 Windows NT 
启动 盘 ” 修 复 系 统 。 当 用 户 系统 的 部 分 启动 文件 损坏 或 映射 磁盘 区 出 现 故 障 时 ,也 可 以 使 用 
“Windows NT 启动 盘 ? 进 行 修复 。 

利用 “Windows NT 系统 启动 盘 ? 修 复 系统 的 方法 ,要 求 用 户 事先 制作 一 张 *Windows 
NT 启动 盘 ”"。 要 注意 的 是 ,在 本 计算 机 上 制作 的 “Windows NT 启动 盘 ” 只 能 用 于 本 计算 
机 ,而 不 能 用 于 其 他 计算 机 ,这 一 点 与 “紧急 修复 磁盘 "的 使 用 情况 不 同 。 
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24 Windows 2000 系统 安全 


Windows 2000 是 在 Windows NT 基础 上 发 展 起 来 的 ,在 安全 性 、 可 操作 性 等 方面 都 做 
了 较 大 的 改进 ,又 增加 了 活动 目录 分 布 式 文件 系统 、 智 能 镜像 技术 、 管 理 咨 询 和 强大 的 网 络 
通信 等 新 的 服务 和 管理 功能 ,为 广大 用 户 所 接受 。Windows 2000 系统 在 Windows NT 所 
具有 的 安全 规则 和 安全 措施 基础 上 ,增加 了 一 些 新 的 安全 措施 和 技术 ,同时 又 改进 ,增强 了 
一 些 安全 措施 和 技术 。 下 面 介绍 Windows 2000 系统 新 增加 和 改进 的 相关 安全 措施 和 
技术 。 


24.1 Windows 2000 的 安全 性 措施 


由 于 Windows 2000 操作 系统 有 良好 的 网 络 功能 ,在 Internet 中 有 部 分 网 站 服务 器 使 
用 Windows 2000 作为 主 操作 系统 ,因此 它 也 往往 会 被 攻击 者 选 为 攻击 对 象 。 作 为 
Windows 2000 的 用 户 ,可 以 采取 以 下 措施 来 提高 Windows 2000 系统 的 安全 性 。 


1. 及 时 备份 系统 


为 防止 系统 在 使 用 过 程 中 发 生意 外 而 不 能 正常 运行 ,应 对 Windows 2000 系统 进行 系 
统 备 份 , 最 好 是 在 完成 Windows 2000 系统 安装 后 就 对 整个 系统 进行 备份 ,以 此 作为 完整 的 
备份 系统 来 验证 系统 的 完整 性 ,检查 系统 文件 是 否 给 非法 修改 过 。 如 果 发 生 系统 文件 被 破 
坏 , 也 可 使 用 系统 备份 来 恢复 到 正常 状态 。 备 份 信 息 时 ,可 以 把 完好 的 系统 信息 备份 在 
CD-ROM 光盘 上 。 以 后 可 以 定期 地 将 系统 与 光盘 上 的 信息 进行 比较 ,以 验证 系统 的 完整 性 
是 否 受 到 破坏 。 如 果 对 安全 级 别 的 要 求 特别 高 , 则 可 将 光盘 设置 为 可 启动 的 ,并 将 验证 工作 
作为 启动 过 程 的 一 部 分 ,这 样 ,只 要 可 以 通过 光盘 启动 ,就 说 明 系 统 是 完整 的 。 


2. 设置 系统 格式 为 NTFS 


安装 Windows 2000 时 ,应 选择 自 定义 安装 ,选择 个 人 或 单位 必需 的 系统 组 件 和 服务 ， 
取消 不 必要 的 网 络 服 务 和 协议 。 因 为 服务 和 协议 安装 得 越 多 , 入侵 者 可 利用 的 途径 就 越 多 ， 
潜在 的 系统 安全 隐患 也 就 越 大 。 在 选择 Windows 2000 文件 系统 时 ,应 选择 NTFS 文件 系 
统 , 充 分 利用 NTFS 文件 系统 的 安全 性 。NTFS 文件 系统 可 将 每 个 用 户 允 许 读 写 的 文件 限 
制 在 磁盘 目录 下 的 任何 一 个 文件 夹 内 ,而 且 Windows 2000 新 增 的 磁盘 限额 服务 还 可 以 控 
制 每 个 用 户 允 许 使 用 的 磁盘 空间 大 小 。 


3. 加 密 文件 或 文件 夹 


为 提高 文件 的 保密 性 ,可 利用 Windows 2000 系统 提供 的 加 密 工 具 对 文件 或 文件 夹 进 
行 保护 。 其 具体 操作 步骤 为 : 在 “资源 管理 器 ”中 用 和 鼠标 右 击 想 要 加 密 的 文件 或 文件 夹 , 选 
择 “ 属 性 ”|“ 常 规 ”|“ 高 级 ”, 然 后 选择 “加 密 内 容 以 保证 数据 安全 ” 复 选 框 即 可 。 
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4. 取消 共享 目录 的 EveryOne 组 


默认 情况 下 , Windows 2000 新 增 一 个 共享 目录 ,操作 系统 会 自动 将 EveryOne 用 户 组 
添加 到 权限 模块 中 。 由 于 EveryOne 组 的 默认 权限 是 完全 控制 ,结果 会 使 任何 用 户 都 可 对 
共享 目录 进行 读 写 。 因 此 ,在 新 建 共 享 目录 后 ,要 立即 删除 EveryOne 组 或 将 该 组 的 权限 设 
置 为 只 读 。 


5. 创建 紧急 修复 磁盘 


如 果 一 不 小 心 ,使 系统 被 破坏 而 不 能 正常 启动 时 ,就 要 用 专用 的 系统 启动 盘 来 启动 。 为 
此 ,一 定 要 记 住 在 Windows 2000 安装 后 ,要 创建 一 个 紧急 修复 磁盘 。 可 利用 Windows 
2000 一 个 名 为 NTBACKUP. EXE 的 工具 实现 创建 启动 磁盘 。 运 行 NTBACKUP. EXE, 在 
工具 栏 中 选择 “Create an Emergency Repair Disk( 创 建 紧急 修复 盘 )”, 然 后 在 A 驱动 器 中 
插 一 张 空白 软盘 并 单 击 “确定 ”按钮 ,直到 完成 后 ,再 单 击 * 确 定 "按钮 。 

6. 使 用 好 安全 规则 

严格 管理 和 使 用 好 Windows 2000 的 安全 规则 ,如 密码 规则 、 账 号 锁定 规则 、 用 户 权 限 
分 配 规则 、 审 核 规则 以 及 IP 安全 规则 等 。 对 用 户 进行 合理 地 分 组 是 进行 系统 安全 设计 的 重 
要 基础 ,因此 ,对 所 有 用 户 都 应 按 工 作 需 要 进行 分 组 。 利 用 安全 规则 可 以 限定 用 户口 令 的 有 
效 期 .口令 长 度 , 设 置 账户 锁定 功能 ,并 对 用 户 备份 文件 目录、 关机、 网 络 访问 等 各 项 行为 进 
行 有 效 控制 。 

7. 对 系统 进行 跟踪 记录 


为 了 能 密切 监视 黑客 的 和 人 侵 活动 ,应 该 启动 Windows 2000 的 日 志文 件 来 记录 系统 的 
运行 情况 。 当 黑客 攻击 系统 时 ,其 蛛丝马迹 都 会 被 记录 在 日 志文 件 中 。 因 此 ,有 许多 黑客 在 
攻击 系统 时 ,往往 首先 通过 修改 系统 的 日 志文 件 来 隐藏 自己 的 行踪 。 为 此 ,必须 限制 对 日 志 
文件 的 访问 ,禁止 一 切 权限 的 用 户 查看 日 志文 件 。 当 然 ,系统 中 内 置 的 日 志 管理 功能 不 是 太 
强 , 可 采用 专门 的 日 志 程 序 来 观察 那些 可 疑 的 多 次 连接 尝试 。 另 外 ,还 要 保护 好 具有 根 权限 
的 用 户 和 密码 ,因为 黑客 一 旦 知道 了 具有 根 权限 的 用 户 账号 后 ,就 可 以 用 修改 日 志文 件 方法 


242 Windows 2000 的 安全 性 技术 


1. 活 动 目录 


活动 目录 通过 使 用 对 象 和 用 户 数 据 的 访问 控制 提供 了 对 用 户 账号 和 组 信息 的 安全 存储 
保护 。 由 于 活动 目录 不 仅 存储 用 户 数据 ,还 存储 访问 控制 信息 ,因此 ,登录 的 用 户 将 同时 获 
得 访问 系统 资源 的 身份 验证 和 权限 。 然 后 当 用 户 试图 使 用 网 络 服务 时 ,系统 检查 由 任意 访 
问 控制 列表 为 该 服务 定义 的 属性 。 由 于 活动 目录 允许 管理 员 创 建 组 用 户 ,因此 管理 员 可 以 
更 有 效 地 管理 系统 的 安全 性 。 比 如 ,通过 调节 文件 属性 ,管理 员 可 使 组 中 的 所 有 用 户 读 取 
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交 作 : 
2. 身份 验证 


身份 验证 是 系统 安全 性 的 一 个 基本 方面 , 它 负 责 确认 欲 登 录 网 络 域 或 访问 网 络 资源 的 
任何 用 户 的 身份 。Windows 2000 的 身份 验证 赋予 用 户 登 录 系 统 访问 网 络 资源 的 能 力 , 它 允 
许 对 整个 网 络 资源 进行 单独 登记 。 采 用 单独 登记 的 方法 ,用 户 可 以 使 用 单个 密码 或 智能 卡 
一 次 性 登录 到 域 ,然后 通过 身份 验证 向 域 中 的 所 有 计算 机 表明 身份 。 

Windows 2000 的 安全 系统 提供 了 两 种 类 型 的 身份 验证 。 一 种 是 交互 式 登录 验证 , 它 
是 根据 用 户 的 本 地 计算 机 或 活动 目录 账户 来 确认 用 户 的 身份 ; 另 一 种 是 网 络 身 份 验证 ， 
它 是 根据 用 户 试图 访问 的 任何 网 络 服务 来 确认 用 户 的 身份 。Windows 2000 提供 了 进行 
身份 验证 的 三 种 身份 验证 机 制 : Kerberos V5 身份 验证 、 公 钥 证 书 身份 验证 和 NTLM 身 
份 验证 。 


3. 基于 对 象 的 访问 控制 


通过 用 户 身份 验证 , Windows 2000 允许 管理 员 控 制 用 户 对 网 上 资源 或 对 象 的 访问 。 
Windows 2000 通过 管理 员 为 存储 在 活动 目录 中 的 对 象 分 配 安全 描述 符 实现 访问 控制 。 安 
全 描述 符 列 出 了 允许 访问 对 象 的 用 户 或 组 ,以 及 分 配给 这 些 用 户 或 组 的 特殊 权限 。 安 全 描 
述 符 还 指定 了 需要 为 对 象 审核 的 不 同 访问 事件 ,文件 .打印 机 和 服务 都 是 具体 的 对 象 。 通 过 
管理 对 象 的 属性 ,管理 员 可 以 设置 权限 ,分 配 所 有 权 以 及 监视 用 户 访问 。 

管理 员 不 仅 可 以 控制 对 特殊 对 象 的 访问 ,也 可 以 控制 对 该 对 象 特 定 属 性 的 访问 。 比 如 ， 
通过 适当 配置 对 象 的 安全 描述 符 , 可 以 允许 用 户 访问 一 部 分 特定 信息 而 非 全 部 信息 。 


4. 数据 安全 性 技术 


在 用 户 登 录 网 络 时 ,系统 的 数据 保护 开始 。Windows 2000 支持 网 络 数据 保护 和 存储 数 
据 保护 两 种 数据 保护 方式 。 

网 络 数据 保护 是 指 对 本 地 网 络 中 的 数据 和 不 同 网 络 间 传输 的 数据 的 安全 保护 。 对 于 本 
地 网 络 的 数据 ,可 采用 身份 验证 协议 和 IP 安全 协议 (IP Security) 加 密实 现 保护 ; 对 于 网 络 
间 传 输 的 数据 ,可 以 采用 IP 安全 协议 加 密 、 路 由 和 远程 访问 服务 (配置 远程 访问 协议 和 路 
由 )、 代 理 服 务 ( 提 供 防火 墙 和 代理 服务 器 ) 等 实现 保护 。 

保护 存储 数据 可 用 文件 加 密 系 统 EFS 和 数字 签名 技术 来 实现 。EFS 使 用 公 钥 加 密 技 
术 对 本 地 的 NTFS 数据 进行 加 密 , 数 字 签 名 对 软件 进行 签名 以 保证 它们 的 合法 性 。 

1) 认证 服务 

Windows 2000 提供 了 完全 支持 提供 者 界面 (SSPD ,利用 其 API 函数 提供 完整 的 认证 
功能 。SSPI 为 客户 机 /服务 器 双方 的 身份 验证 提供 了 上 层 应 用 的 API, 屏 项 了 网 络 安全 的 
实现 细节 ,减少 了 为 支持 多 方 认证 而 需要 实现 协议 的 代码 量 。 此 外 , Windows 2000 还 使 用 
Kerberos 认证 协议 作为 认证 系统 。 

2) 证 书 服务 

Windows NT 中 的 证 书 服务 器 提供 了 证 书 请 求 、 发 布 和 管理 等 基本 功能 。 在 Windows 
2000 中 更 名 为 证 书 服务 , 它 是 借助 于 密码 保护 的 加 密 数 据 文件 ,其 中 包含 的 数据 可 用 于 对 
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传输 系统 进行 鉴别 。 证 书 服务 可 以 对 数据 库 进 行 独立 管理 。 

3) 加 密 功 能 

Windows 2000 提供 了 IP Security 和 EFS( 加 密 文件 系统 ) 服 务 ,它们 可 提供 认证 、 加 
密 数据 完 整 和 数据 过 滤 功 能 。 

。 IP Security。Windows 2000 的 IP Security 使 用 验证 包头 的 方法 来 提供 数据 源 验 
证 。IP Security 不 需 发 送 方 和 接收 方 知道 保密 密 钥 。 如 果 验 证 数据 有 效 ,接收 方 就 
可 知道 数据 来 自发 送 方 , 并 且 在 传输 中 没 受到 破坏 。 
EFS。Windows 2000 的 EFS 可 对 本 地 存储 数据 的 安全 保密 提供 更 多 的 保证 。EFS 
可 对 本 地 计算 机 上 指定 的 文件 或 目录 进行 加 密 , 未 经 授权 的 人 就 无 法 读 取 这 些 文 
件 。EFS 对 保护 便携 式 计算 机 的 数据 特别 有 用 ,配置 EFS 的 这 些 计算 机 上 的 所 有 
机 密 信息 均 可 被 加 密 。 通 过 相应 配置 ,使 得 EFS 在 保存 文件 时 自动 对 其 进行 加 密 ， 
并 在 用 户 再 次 打开 文件 时 解密 。EFS 使 用 各 不 相同 的 对 称 密 钥 对 每 个 文件 加 密 , 然 
后 再 使 用 文件 拥有 者 的 公 钥 对 加 密 密 钥 进行 加 密 。 如 果 有 人 想 绕 过 EFS, 或 即使 文 
件 被 盗窃 ,也 无 法 解密 。 


25 Windows 2003 系统 安全 


Windows Server 2003 是 微软 公司 在 Windows 2000 系列 的 基础 上 改进 推出 的 , 它 集成 
了 功能 强大 的 应 用 程序 环境 ,具有 更 广泛 的 适应 性 和 便捷 的 管理 。 

对 于 网 络 系统 管理 员 来 说 ,最 关心 的 事情 莫 过 于 系统 的 安全 。Windows Server 2003 
作为 Microsoft 最 新 推出 的 服务 器 操作 系统 , 相 比 Windows 2000/XP 系统 来 说 ,各 方面 的 
功能 确实 得 到 了 增强 ,尤其 在 安全 性 方面 。 但 任何 事物 都 不 是 十 全 十 美的 , Windows Server 
2003 也 存在 着 系统 漏洞 和 安全 隐患 。 无 论 用 计算 机 欣赏 音乐 、 上 网 冲浪 、 运 行 游戏 ,还 是 编 
写 文档 都 不 可 避免 地 受到 新 病毒 和 恶意 软件 的 威胁 ,如 何 让 Windows Server 2003 更 加 安 
全 ,就 成 为 广大 用 户 十 分 关注 的 问题 。 

关于 Windows Server 2003 系统 的 安全 设置 和 管理 内 容 很 多 ,有些 与 Windows 
NT/2000 系统 的 安全 内 容 大 同 小 异 。 在 此 只 介绍 Windows Server 2003 系统 的 部 分 安全 策略 。 

Windows Server 2003 系统 不 仅 继承 了 Windows 2000/XP 的 易 用 性 和 稳定 性 ,而 且 还 
提供 了 更 高 的 硬件 支持 和 更 加 强大 的 安全 功能 ,无 疑 是 中 小 型 网 络 应 用 服务 器 的 首选 。 
Windows 2003 系统 提供 的 提高 密码 的 破解 难度 、 启 用 账户 锁定 策略 、 限 制 用 户 登 录 、 限 制 外 
部 连接 、 系 统 审核 机 制 、 监 视 开 放 端 口 和 连接 、 监 视 进 程 和 系统 信息 等 安全 策略 ,可 确保 网 络 
安全 和 服务 器 的 正常 运行 。 


1. 提高 密码 的 破解 难度 


在 Windows Server 2003 系统 中 ,可 以 通过 在 安全 策略 中 设 定 * 密 码 策略 ?来 提高 密码 
的 破解 难度 。Windows Server 2003 系统 的 安全 策略 可 以 根据 网 络 的 情况 ,针对 不 同 的 场 
合 和 范围 进行 有 针对 性 的 设 定 。 例 如 可 以 针对 本 地 计算 机 、 域 及 相应 的 组 织 单元 进行 设 定 ， 
这 将 取决 于 该 策略 要 影响 的 范围 。 以 域 安全 策略 为 例 ,其 作用 范围 是 网 中 所 指定 域 的 所 有 
成 员 。 在 域 管理 工具 中 运行 “ 域 安全 策略 ”工具 ,就 可 以 针对 密码 策略 进行 相应 的 设 定 。 密 
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码 策略 也 可 以 在 指定 的 计算 机 上 用 “本 地 安全 策略 "来 设 定 ,同时 也 可 在 网 络 中 特定 的 组 织 
单元 通过 组 策略 进行 设 定 。 


2. 启用 账户 锁定 策略 


账户 锁定 是 指 在 某 些 情况 下 (如 账户 受到 采用 密码 词典 或 暴力 猜 解 方式 的 攻击 ) ,为 保 
护 该 账户 的 安全 而 将 此 账户 进行 锁定 ,使 其 在 一 定 的 时 间 内 不 能 再 次 使 用 。Windows 2003 
系统 在 默认 情况 下 并 没有 设 定 这 种 锁定 策略 ,用 户 可 根据 情况 自行 设置 账户 锁定 。 设 定 账 
户 锁定 的 第 一 步 是 指定 账户 锁定 的 阔 值 , 即 确定 该 账户 无 效 登 录 的 次 数 。 一 般 设 定 该 数值 
为 3, 即 只 允许 3 次 登录 尝试 ,如 果 3 次 登录 全 部 失败 ,系统 就 会 锁定 该 账户 。 一 旦 该 账户 
被 锁定 后 ,即使 是 合法 用 户 也 就 无 法 使 用 了 ,只 有 管理 员 才 能 重新 启用 该 账户 。 为 方便 用 
户 , 可 以 同时 设 定 锁定 的 时 间 ,这 样 从 开始 锁定 账户 时 进行 计时 , 当 锁定 时 间 超 过 该 时 间 后 
系统 自动 解锁 。 虽 然 账户 锁定 会 给 用 户 的 使 用 造成 一 些 不 便 , 但 它 可 以 有 效 地 避免 自动 狂 
解 工 具 的 攻击 。 


3. 限制 用 户 登录 


用 户 还 可 以 通过 对 其 登录 行为 进行 限制 ,来 保障 其 账户 的 安全 。 这 样 即 使 是 密码 出 现 
泄露 ,系统 也 可 以 在 一 定 程度 上 阻止 黑客 入 侵 。Windows Server 2003 网 络 用 户 可 运行 
“Active Directory 用 户 和 计算 机 ”管理 工具 ,选择 相应 的 用 户 并 设置 其 “账户 属性 ”。 在 “ 账 
户 属性 ”设置 中 可 对 其 登录 时 间 和 地 点 进行 限制 。 另 外 ,还 可 以 通过 “账户 ”选项 限制 登录 时 
的 行为 ,如 使 用 “用 户 必须 用 智能 卡 登录 ”就 可 避免 直接 使 用 密码 验证 。 此 外 ,还 可 以 引入 指 
纹 验 证 等 更 为 严格 的 手段 。 


4. 限制 外 部 连接 


对 于 企业 网 络 来 说 ,通常 需要 为 一 些 远程 拨号 用 户 ( 业 务 人 员 或 客户 ) 提 供 拨 号 接 入 服 
务 。 远 程 拨号 访问 技术 实际 上 是 通过 低速 拨号 连接 将 远程 计算 机 接 和 人 到 企业 内 部 网 中 。 由 
于 该 连接 无 法 隐藏 ,因此 常常 成 为 黑客 人 侵 企 业内 部 网 的 最 佳人 口 ,但 采取 一 定 的 措施 可 以 
有 效 地 降低 此 风险 。 基 于 Windows Server 2003 的 远程 访问 服务 器 ,默认 情况 下 将 允许 具 
有 拨 入 权限 的 所 有 用 户 建立 连接 。 因 此 ,合理 地 设置 用 户 账户 的 拨 入 权限 ,严格 限制 氢 入 权 
限 的 分 配 范围 , 即 可 很 好 地 限制 外 部 连接 。 在 Windows Server 2003 系统 中 ,如 果 活 动 目录 
工作 在 Native-mode( 本 机 模式 ) 下 ,就 可 以 通过 存储 在 访问 服务 器 上 或 Internet 验证 服务 器 
上 的 远程 访问 策略 来 管理 。 


5. 限制 特权 组 成 员 


Windows Server 2003 系统 还 有 一 种 非常 有 效 的 防范 黑客 人 侵 和 管理 朴 忽 的 辅助 手 
段 ,这 就 是 利用 * 受 限制 的 组 安全 策略 。 该 策略 可 保证 组 成 员 的 组 成 是 固定 的 。 在 域 安 全 
策略 的 管理 工具 中 添加 要 限制 的 组 ,在 “组 ”对 话 框 中 键入 或 查找 要 添加 的 组 ,然后 就 是 配置 
该 受 限 制 的 组 成 员 。 在 这 里 选择 受 限制 的 组 的 “安全 性 (S)” 选 项 ,就 可 添加 或 删除 成 员 。 
当 安 全 策略 生效 后 ,可 防止 黑客 将 后 门 账户 添加 到 该 组 中 。 
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6. 启用 系统 审核 机 制 


系统 审核 机 制 可 以 对 系统 中 的 各 类 事件 进行 跟踪 记录 并 写 人 日 志文 件 , 以 供 管理 员 进 
行 分 析 、 查 找 系统 和 应 用 程序 故障 以 及 各 类 安全 事件 。 对 Windows 2003 系统 的 服务 器 和 
工作 站 系统 来 说 ,为 了 不 影响 系统 性 能 ,默认 的 安全 策略 并 不 对 安全 事件 进行 审核 。 从 “ 安 
全 配置 和 分 析 ” 工 具 用 SecEdit 安全 模板 进行 的 分 析 结 果 可 见 , 这 些 有 特殊 标记 的 审核 策略 
应 该 已 经 启用 ,这 可 用 来 发 现 来 自 外 部 和 内 部 的 黑客 的 人 侵 行为 。 对 于 关键 的 应 用 服务 器 
和 文件 服务 器 来 说 ,应 同时 启用 其 余 的 安全 策略 。 如 果 已 经 启用 了 * 审 核对 象 访问 ”策略 , 那 
么 就 要 求 必须 使 用 NTFS 文件 系统 。NTFS 文件 系统 不 仅 提供 对 用 户 的 访问 控制 ,而 且 还 
可 以 对 用 户 的 访问 操作 进行 审核 。 但 这 种 审核 功能 需要 针对 具体 的 对 象 来 进行 相应 的 
配置 。 

在 被 审核 对 象 “安全 ”属性 的 “高 级 ”属性 中 添加 要 审核 的 用 户 和 组 。 在 该 对 话 框 中 选择 
要 审核 的 用 户 后 ,就 可 以 设置 对 其 进行 审核 的 事件 和 结果 。 在 所 有 的 审核 策略 生效 后 ,就 可 
以 通过 检查 系统 的 日 志 来 发 现 黑客 的 蛛丝马迹 。 


7. 监视 开放 的 端口 和 连接 


在 系统 中 启用 安全 审核 策略 后 ,管理 员 应 经 常 查看 安全 日 志 记 录 , 否 则 就 失去 了 及 时 补 
救 和 防御 的 时 机 。 对 日 志 的 监视 只 能 发 现 已 经 发 生 的 入 侵 事 件 ,对 正在 进行 的 入 侵 和 破坏 
行为 却 无 能 为 力 。 这 时 ,就 需要 管理 员 来 掌握 一 些 基本 的 实时 监视 技术 。 

黑客 或 病毒 人 侵 系统 后 通常 会 在 系统 中 留 下 后 门 , 同 时 会 与 外 界 建立 一 个 Socket 会 话 
连接 进行 通信 ,这 时 利用 netstat 命令 进行 会 话 状态 的 检查 就 可 能 发 现 它 , 在 这 里 就 可 以 查 
看 已 经 打开 的 端口 和 已 经 建立 的 连接 。 当 然 也 可 以 采用 一 些 专用 的 检测 程序 对 端口 和 连接 
进行 检测 。 


8. 监视 共享 


黑客 通过 共享 人 侵 系统 是 很 方便 的 ,最 简单 的 方法 就 是 利用 系统 隐 含 的 管理 共享 。 
此 ,只 要 黑客 能 扫描 到 用 户 的 IP 和 密码 ,就 可 使 用 netuse 命令 连接 到 共享 上 。 另 外 , 当 发 
现 含 有 恶意 脚本 的 网 页 时 ,此 时 计算 机 硬盘 也 可 能 被 共享 ,因此 ,监测 本 机 的 共享 连接 是 非 
常 重要 的 。 监 测 本 机 的 共享 连接 的 具体 方法 为 : 在 Windows Server 2003 系统 计算 机 中 , 打 
开 “ 计 算 机 管理 ”工具 ,并 展开 “共享 文件 夹 ”选项 , 单 击 其 中 的 “共享 ”选项 就 可 以 查看 其 右面 
窗口 ,以 检查 是 否 有 新 的 可 疑 共享 。 如 果 有 可 疑 共享 ,就 应 该 立即 删除 。 另 外 还 可 以 通过 选 
择 “ 会 话 ” 选 项 ,来 查看 连接 到 机 器 上 所 有 共享 的 会 话 。 


9. 监视 进程 和 系统 信息 


对 于 木马 和 远程 监控 程序 ,除了 监视 开放 的 端口 外 ,还 应 通过 任务 管理 器 的 进程 查看 功 
能 查看 进程 。 在 安装 Windows Server 2003 系统 支持 工具 后 ,就 可 以 获得 一 个 进程 查看 工 
具 Process Viewer。 隐 藏 的 进程 通常 寄宿 在 其 他 进程 下 ,因此 查看 进程 的 内 存 映 像 也 许 能 
发 现 异 常 。 有 些 木马 会 把 自己 注册 成 一 个 服务 ,从 而 可 避免 在 进程 列表 中 现形 。 因 此 人 们 
还 应 结合 对 系统 中 其 他 信息 的 监视 ,对 系统 信息 中 的 软件 环境 下 的 各 项 进行 相应 的 检查 。 
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26 UNIX 和 Linux 系统 安全 
26.1 UNIX 系统 安全 


UNIX 操作 系统 经 历 了 几 次 更 新 换代 ,其 功能 和 安全 性 都 日 至 完善 ,尽管 如 此 ,入 侵 者 
还 是 可 以 利用 系统 的 一 些 漏洞 进入 系统 。 


1. UNIX 系统 的 安全 基础 


文件 系统 安全 是 UNIX 系统 中 的 重要 部 分 。 在 UNIX 中 ,所 有 的 对 象 都 是 文件 。 
UNIX 中 的 基本 文件 类 型 有 正规 文件 .特殊 文件 目录、 链接 套 接 字 字符 设备 等 ,这 些 文件 
以 一 个 分 层 的 树 型 结构 进行 组 织 ,以 一 个 称 为 root 的 目录 为 起 点 ,整个 就 是 一 个 文件 系统 。 
UNIX 中 的 每 个 用 户 有 一 个 唯一 的 用 户 名 和 UID( 用 户 ID 号 ) ,每 个 用 户 属 于 一 个 或 多 个 
组 。 基 本 分 组 成 员 在 /etc/passwd 中 定义 ,附加 的 分 组 成 员 在 /etc/group 中 定义 。 每 个 文 
件 和 目录 有 三 组 权限 : 一 组 是 文件 的 拥有 者 ,一 组 是 文件 所 属 组 的 成 员 , 一 组 是 其 他 所 有 用 
户 。 在 所 有 文件 中 ,值得 注意 的 是 文件 的 SUID( 置 文件 所 有 者 ID 号 ) 位 和 SGID( 置 文件 所 
在 组 ID 号 ) 位 ,因为 一 些 人 侵 者 常 利用 这 些 文件 入 侵 留 下 后 门 。 当 用 户 执 行 一 个 SUID 文 
件 时 ,用 户 ID 在 程序 运行 过 程 中 被 置 为 文件 拥有 者 的 用 户 ID, 如 果 文 件 属于 root, 则 用 户 
就 成 为 超级 用 户 。 同 样 , 当 一 个 用 户 执行 SGID 文件 时 ,用 户 的 组 被 置 为 文件 的 组 。UNIX 
系统 实际 上 有 两 种 类 型 的 用 户 ID: 实际 ID 和 有 效 ID。 实 际 ID 是 在 登录 过 程 中 建立 的 用 
户 ID, 有 效 ID 是 用 户 运 行进 程 时 的 有 效 权限 。 一 般 情况 下 , 当 一 个 用 户 执 行 一 条 命令 时 ， 
进程 继承 了 用 户 登录 Shell 的 权限 ,这 时 ,实际 ID 和 有 效 ID 是 相同 的 。 当 SUID 位 被 设置 
时 ,进程 则 继承 了 命令 所 有 者 的 权限 ,通过 创建 一 个 SUID 是 root 的 Shell 拷贝 ,攻击 者 可 
以 借 此 建立 后 门 。 因 此 ,系统 管理 员 应 定期 查看 系统 中 有 哪些 SUID 和 SGID 文件 。 

UNIX 早期 版 本 的 安全 性 能 很 差 , 仅 达到 TCSEC 的 C1 安全 级 。 但 后 来 的 新 版 本 引进 
了 受 控 访问 环境 的 增强 特性 ,增加 了 审计 特性 ,进一步 限制 用 户 执行 某 些 系统 指令 ,审计 特 
性 可 跟踪 所 有 的 “安全 事件 ”和 系统 管理 员 的 工作 。UNIX 系统 达到 了 C2 安全 级 。 


2. UNIX 系统 漏洞 与 防范 


1) RPC 服务 缓冲 区 溢出 

远程 过 程 调 用 (RPC) 是 Sun 公司 开发 的 用 来 在 远程 主机 上 执行 特定 任务 的 一 种 协议 。 
RPC 允许 一 台 计 算 机 上 的 程序 执行 另 一 台 远程 计算 机 上 的 程序 。 它 被 广泛 用 来 提供 网 络 
远程 服务 ,如 NFS 文件 共享 等 。 但 由 于 代码 实现 的 问题 ,RPC 的 几 个 服务 进程 很 容易 遭 到 
远程 缓冲 区 溢出 的 攻击 。 因 为 RPC 不 能 进行 必要 的 错误 检查 ,所 以 缓冲 区 溢出 允许 攻击 者 
发 送 程 序 不 支持 的 数据 ,使 这 些 数据 被 继续 传送 和 处 理 。 

采取 安装 补丁 程序 、 从 Internet 直接 访问 的 计算 机 上 关闭 或 删除 RPC 服务 、 关 闭 RPC 
“oopback” 端 口 .关闭 路 由 器 或 防火 墙 中 的 RPC 端口 等 措施 可 避免 对 该 漏洞 的 攻击 。 

2) Sendmail 漏洞 

Sendmail 是 UNIX 上 用 得 最 多 的 发 送 、 接 收 和 转发 电子 邮件 的 程序 。Sendmail 在 
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Internet 上 的 广泛 应 用 使 其 成 为 攻击 者 的 主要 目标 ,攻击 者 可 利用 Sendmail 存在 的 缺陷 进 
行 攻击 。 最 常见 的 攻击 是 攻击 者 发 送 一 封 特别 的 邮件 消息 给 运行 Sendmail 的 计算 机 ， 
Sendmail 会 根据 该 消息 要 求 被 攻击 的 计算 机 将 其 口令 文件 发 送 给 攻击 者 ,这 样 ,口令 就 会 

采取 更 新 Sendmail 为 最 新 版 本 、 及 时 下 载 或 更 新 补丁 程序 、 非 邮件 服务 器 或 代理 服务 
器 不 要 在 daemon 模式 下 运行 Sendmail 等 措施 防范 Sendmail 攻击 。 

3) BIND 的 脆弱 性 

BIND 是 域名 服务 DNS 中 用 得 最 多 的 软件 包 。 它 存在 一 定 的 缺陷 ,攻击 者 可 利用 
BIND 缺陷 攻击 DNS 服务 器 ,如 删除 系统 日 志 、 安 装 软件 工具 以 获得 管理 员 权限 、 编 辑 安装 
IRC 工具 和 网 络 扫描 工具 、 扫 描 网 络 以 寻找 更 多 的 易 受 攻击 的 BIND。 

采取 以 下 措施 可 防范 BIND 攻击 : 在 所 有 非 DNS 服务 器 的 计算 机 上 ,取消 BIND 的 
“named”; 在 DNS 服务 器 的 计算 机 上 将 DNS 软件 升级 到 最 新 版 本 或 补丁 版 本 ; 选择 部 分 
补丁 程序 ,以 非特 权 用 户 身 份 运 行 BIND, 以 防 远 程控 制 攻击 等 。 

4) R 命令 缺陷 

UNIX 系统 提供 了 “R” 系 列 命令 (rsh、rcp、rlogin 和 remd) 和 相应 的 “R” 服 务 功能 。 
UNIX 管理 员 经 常 使 用 *R” 服 务 使 用 的 信任 关系 和 “R” 命 令 , 从 一 个 系统 方便 地 切换 到 另 
一 个 系统 。“R"” 命 令 允 许 一 个 人 登录 远程 计算 机 而 不 必 提 供 口 令 , 远 程 计 算 机 不 用 询问 用 
户 名 和 口令 ,而 认可 来 自 可 信赖 IP 地 址 的 任何 人 。 如 果 攻 击 者 获得 了 可 信赖 网 络 中 的 任何 
一 台 计 算 机 ,就 能 登录 到 任何 信任 该 IP 的 计算 机 。 

采取 不 允许 以 IP 为 基础 的 信任 关系 、 不 使 用 “R” 命 令 和 更 安全 的 认证 方式 等 措施 可 防 
范 “R” 命 令 的 缺陷 。 


3. UNIX 的 主机 安全 性 


UNIX 系统 主机 的 安全 是 信息 网 络 安全 的 一 个 重要 方面 ,黑客 往往 通过 控制 网 络 中 系 
统 主机 来 人 侵 信息 系统 和 窃取 数据 信息 ,或 通过 已 控制 的 系统 主机 来 扩大 已 有 的 破坏 行为 。 
为 UNIX 操作 系统 安全 规定 较 详细 的 安全 性 原则 ,可 从 技术 层面 指导 用 户 对 主机 系统 进行 
安全 设置 和 管理 ,从 而 使 信息 系统 的 安全 性 达到 一 个 更 高 的 层次 。 

UNIX 系统 安全 性 措施 包括 用 户 与 口令 安全 ,文件 系统 安全 和 系统 配置 安全 等 。 

1) 用 户 与 口令 安全 性 

。 设置 /etc/passwd 文件 权限 为 400, 且 所 有 者 为 root。 因 为 /etc/passwd 文件 中 存放 
着 系统 的 账号 信息 ,只 有 root 可 以 写 。 如 果 其 他 用 户 可 写 , 就 有 可 能 出 现 设置 后 
门 、 提 升 权 限 .增删 用 户 等 问题 。 
设置 用 户 密码 。 空 密码 用 户 的 存在 将 增加 服务 器 被 人 侵 的 可 能 性 ,因此 要 为 每 个 用 
户 设置 密码 。 密 码 要 有 一 定 的 长 度 , 要 大 小 写字 母 、 数 字 和 符号 相间 ,增加 密码 的 复 
杂 性 ,减少 密码 被 猜 中 的 可 能 性 。 
设置 账号 锁定 功能 。 攻 击 者 可 能 会 使 用 一 些 软件 工具 通过 重复 登录 来 穷 举 密码 , 锁 
定 账 号 可 以 使 这 种 穷 举 密码 攻击 失效 。 
封闭 不 常用 的 账号 。bin sys daemon adm lp tftp .nobody 等 账号 一 般 用 不 到 ,但 
有 可 能 被 攻击 者 利用 ,因此 可 将 这 些 不 用 的 账号 删除 。 
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启用 审计 功能 。 审 计 功 能 可 为 管理 员 提 供用 户 登 录 、 监 视 用 户 操 作 及 使 用 网 络 资源 
等 情况 ,因此 ,可 使 管理 员 很 清楚 服务 器 的 使 用 现状 。 

文件 系统 安全 性 

设置 内 核 文件 的 所 有 者 为 root, 且 组 和 其 他 用 户 对 内 核 文件 不 可 写 ,防止 其 他 用 户 
修改 内 核 文件 。 

禁止 普通 用 户 运 行 crontab, 并 确保 /usr/lib/crontab 和 该 表 中 列 出 的 任何 程序 对 任 
何人 不 可 写 。 明 确 crontab 运行 的 脚本 中 的 路 径 和 不 安全 的 命令 ,因为 crontab 经 
常会 被 一 些 攻击 者 设置 后 门 ,所 以 要 和 弄 清楚 crontab 中 的 脚本 用 途 。 

.netrc 文件 中 不 能 包含 密码 信息 。ftp 命令 在 执行 时 会 去 寻找 一 个 文件 名 为 . netrc 
的 文件 ,如 果 此 文件 存在 并 且 其 中 有 ftp 命令 行 中 指定 的 主机 名 , 则 会 执行 . netrc 文 
件 中 的 命令 行 。. netrc 文件 中 存放 有 远程 主机 名 注册 用 户 名 .用 户 密码 和 定义 的 
宏 ,因此 要 为 其 设置 权限 0600 ,并 注意 不 包含 密码 信息 。 

对 一 些 开 机 启动 的 文件 设置 正确 的 权限 ,因为 这 些 文件 很 容易 被 放置 木马 。 

文件 /etc/inetd. conf 和 /var/adm/inetd. sec 的 访问 权限 设置 为 0600 ,并且 所 有 者 为 
root。 这 样 可 以 使 这 些 服务 配置 文件 不 能 被 root 以 外 的 用 户 读 或 修改 。 

文件 /etc/services 被 设置 成 组 和 其 他 用 户 不 可 读 。 

把 所 有 人 可 以 写 和 执行 的 文件 重新 设置 权限 ,把 无 用 户 文件 重新 设置 为 用 户 权 限 。 
系统 配置 安全 人 性 

禁止 root 远程 Telnet 登录 和 FTP。Telnet 和 FTP 使 用 明文 方式 传输 用 户 名 和 密 
码 , 很 容易 被 窗 听 。 因 此 ,禁止 root 远程 Telnet 登录 和 FTP, 可 减少 root 密码 被 窃 
取 的 可 能 。 

禁止 匿名 FTP。 匿 名 FTP 不 需要 账号 密码 就 可 执行 FTP 操作 。 因 此 ,匿名 FTP 
中 可 能 会 被 人 放置 一 些 攻击 文件 和 木马 ,也 可 能 窃取 一 些 系 统 资料 。 

在 非 邮件 服务 器 上 禁止 运行 Sendmail。Sendmail 存在 较 多 的 安全 漏洞 , 且 它 是 以 
root 用 户 权限 运行 的 ,如 果 发 生 缓冲 区 溢出 ,就 会 被 攻击 者 获得 root 权限 。 

snmp 密码 不 要 设置 为 默认 的 public 和 private。 因 为 使 用 默认 密码 可 以 使 攻击 者 得 
到 很 多 关于 系统 的 信息 ,甚至 可 以 控制 系统 ,所 以 尽量 将 snmp 密码 改 掉 。 

没 必要 时 不 运行 NFS Server。NFS 提供 不 同 机 器 间 文 件 的 共享 ,大 部 分 系统 的 
NFS 服务 默认 下 设 定 文件 共享 是 可 读 写 的 ,而 且 对 访问 的 机 器 没有 限制 ,所 以 很 容 
易 汇 露 和 被 删改 。 

关闭 潜在 的 危险 服务 。Echo、chargen、rpc,finger 等 服务 并 没有 很 重要 的 用 途 , 但 对 
于 攻击 者 ,它们 可 以 提供 系统 信息 ,或 可 对 它们 进行 各 种 溢出 攻击 ,有 的 可 能 直接 获 
取 root 权限 。 因 此 ,在 不 必要 时 关闭 这 些 服 务 。 

禁止 非 路 由 器 设备 转发 数据 包 。 这 样 ,可 防止 黑客 使 用 DoS( 拒 绝 服 务 ) 来 攻击 ,也 
可 避免 黑客 利用 该 设备 去 DoS 攻击 其 他 服务 器 。 

为 系统 打 最 新 补丁 。 系 统管 理 员 要 随时 浏览 安全 网 站 信息 ,下载 最 新 补丁 程序 来 弥 
补 各 种 系统 漏洞 。 
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Linux 系统 安全 


Linux 是 一 种 类 似 UNIX 操作 系统 的 自由 软件 ,是 一 种 与 UNIX 系统 兼容 的 新 型 网 络 
操作 系统 。Linux 的 安全 级 已 达到 TCSEC 的 C2 级 ,一 些 版 本 达到 了 更 高 级 别 。Linux 的 
一 些 安全 机 制 ( 措 施 ) 已 被 标准 所 接纳 ,下 面具 体 介绍 Linux 的 安全 措施 。 


ls: 


身份 验证 机 制 


在 Linux 中 ,用 户 的 身份 验证 和 用 户 权限 是 分 开设 计 的 ,这 样 ,用 户 的 身份 验证 就 比较 
简单 。Linux 身份 验证 系统 最 基本 的 实现 是 Linux login 程序 ,不 过 其 他 各 应 用 程序 也 一 样 
要 通过 身份 验证 来 确定 用 户 身 份 。 

Linux 采用 的 最 基本 的 验证 体系 有 /password/shadow 体系 和 PAM 体系 。 
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Shadow 身份 验证 体系 是 最 简单 也 是 最 基本 的 ,就 是 利用 口令 进行 身份 验证 。 系 统 
将 用 户 输入 的 口令 与 系统 预 设 的 口令 相 比较 , 若 一 致 ,用 户 即 可 进入 系统 。 

PAM 是 安全 验证 模块 体系 ,只 有 在 编程 时 选择 了 PAM 库 支 持 , 才 能 使 用 PAM 验 
证 。 在 这 种 情况 下 ,程序 调用 PAM 运行 库 , 运 行 库 则 根据 当前 的 PAM 系统 管理 设 
定 进行 具体 的 验证 过 程 ,使 得 整个 验证 过 程 可 以 添加 或 删除 特定 的 功能 ,从 系统 核 
心中 分 离 出 来 。PAM 验证 体系 是 由 一 组 模块 组 成 的 ,可 以 在 一 个 PAM 验证 过 程 
中 使 用 多 种 验证 模块 ,后 面 的 验证 过 程 的 执行 依赖 于 前 面 的 验证 结果 。PAM 验证 
体系 的 功能 有 加 密 口令 、 用 户 使 用 资源 控制 .限制 用 户 入 网 的 时 间 和 地 点 、 允 许 随 意 
shadow 口令 支持 C/S 中 的 机 器 认证 等 。 


用 户 权限 体系 


Linux 的 用 户 权 限 体系 包括 用 户 权 限 、 超 级 用 户 权 限 和 SUID 机 制 。 


3. 


用 户 权 限 : Linux 使 用 标准 的 UNIX 文件 权限 体系 来 实现 Linux 的 基本 用 户 隔离 和 
存 取 授权 功能 。Linux 系统 每 个 文件 都 有 一 个 属 主 用 户 user 和 一 个 属 主 程序 组 
group, 除 此 之 外 的 用 户 都 作为 其 他 用 户 other。 这 样 ,每 个 文件 存在 三 种 存 取 权限 ， 
即 用 户 访 问 权 限 、 组 访问 权限 和 其 他 用 户 访问 权限 。 

超级 用 户 权 限 : 超级 用 户 root 作为 系统 管理 者 ,其 权限 很 大 ,可 以 访问 任何 文件 并 
对 其 进行 读 写 操作 。 通 常 说 的 入 侵 Linux 系统 ,主要 就 是 指 获得 root 权限 ,比如 知 
道 root 密码 或 获取 一 个 具有 root 权限 的 shell。 

SUID 机 制 : SUID 机 制 就 是 在 权限 组 中 增加 SUID 和 SGID 位。 凡是 SUID 位 被 置 
“1” 的 文件 , 当 它 被 执行 时 会 自动 获得 文件 属 主 的 UID; 同样 ,SGID 位 被 置 位 时 ,也 
能 自动 获得 文件 属 组 的 GID。 但 后 者 实际 使 用 得 较 少 ,主要 是 SUID。 


文件 加 密 机 制 


加 密 技术 在 现代 计算 机 系统 中 扮演 着 越 来 越 重要 的 角色 。 文 件 加 密 机 制 就 是 将 加 密 服 
务 引入 文件 系统 ,从 而 提高 计算 机 系统 的 安全 性 。 文 件 加 密 机 制 可 防止 磁盘 信息 被 盗窃 、 防 
止 未 授权 的 访问 、 防 止 信息 的 不 完整 等 。 
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Linux 已 有 多 种 加 密 文件 系统 ,如 CFS、TCFS、CRYPTFS 等 , 较 有 代表 性 的 是 TCFS 
(Transparent Cryptographic File System) 。TCFS 通过 将 加 密 服 务 和 文件 系统 的 紧密 结 
合 , 使 用 户 感觉 不 到 文件 的 加 密 过 程 。TCFS 不 修改 文件 系统 的 数据 结构 ,备份 .修复 以 及 
用 户 访问 保密 文件 的 语义 也 不 变 。TCFS 可 使 保密 文件 对 合法 拥有 者 以 外 的 用 户 、 对 用 户 
与 远程 文件 系统 通信 线路 上 的 偷 听 者 、 对 文件 系统 服务 器 的 超级 用 户 都 不 可 读 ,而 对 于 合法 
用 户 ,访问 保密 文件 与 访问 普通 文件 没什么 两 样 。 


4. 安全 系统 日 志和 审计 机 制 


即使 网 络 采取 了 多 种 安全 措施 ,还 会 存在 一 些 漏洞 。 攻 击 者 在 漏洞 修补 之 前 会 抓 住 机 
会 攻击 更 多 的 机 器 。Linux 系统 具有 安全 审计 功能 , 它 可 对 网 络 安全 进行 检测 ,利用 系统 日 
志 记录 攻击 者 的 行踪 。 

日 志 就 是 对 系统 行为 的 记录 , 它 可 记录 用 户 的 登录 /退出 时 间 以 及 用 户 执行 的 命令 、 系 
统 发 生 的 错误 等 。 日 志 是 Linux 安全 结构 中 的 重要 内 容 , 它 能 提供 攻击 发 生 的 唯一 真实 证 
据 。 在 检查 网 络 入 侵 者 的 时 候 , 日 志 信 息 是 不 可 缺少 的 。 在 标准 的 Linux 系统 中 ,操作 系统 
维护 三 种 基本 日 志 : 连接 时 间 日 志 、 进 程 记 账 日 志和 Syslog 日 志 。 
连接 时 间 日 志 用 来 记录 用 户 的 登录 信息 。 这 是 最 基本 的 日 志 系统 ,管理 员 可 以 利用 
它 来 记录 哪些 用 户 在 什么 时 间 进 入 系统 。 
进程 记 账 日 志 用 来 记录 系统 执行 的 进程 信息 ,如 某 进程 消耗 了 多 少 CPU 时 间 等 。 
Syslog 系统 日 志 不 由 系统 内 核 维 护 , 而 是 由 syslogd 或 者 其 他 一 些 相 关 程 序 完 成 。 
它 是 各 种 程序 对 运行 中 发 生 的 事件 的 处 理 代码 。 

除 以 上 安全 机 制 外 ,Linux 还 采取 了 很 多 具体 安全 措施 ,如 提升 系统 的 安全 级 别 ( 将 系 
统 的 安全 级 别 从 C2 级 提升 到 B1 级 或 B2 级 )、SSH 安全 工具 、 虚 拟 专 用 网 (VPN) 等 。 


5. 强制 访问 控制 


强制 访问 控制 (MAC) 是 一 种 由 管理 员 从 全 系统 角度 定义 和 实施 的 访问 控制 。 它 通过 
标记 系统 中 的 主客 体 ,强制 性 地 限制 信息 的 共享 和 流动 ,使 不 同 的 用 户 只 能 访问 与 其 有 关 
的 指定 范围 的 信息 ,从 根本 上 防止 信息 泄露 和 访问 混乱 的 现象 。 

由 于 Linux 是 一 种 自由 式 操作 系统 ,因此 在 其 系统 上 实现 的 强制 访问 也 有 多 种 形式 , 比 
较 典 型 的 有 SELinux 和 RSBAC, 采 用 的 策略 也 各 不 相同 。 

SELinux 是 一 种 安全 体系 结构 ,在 该 结构 中 ,安全 性 策略 的 逻辑 和 通用 接口 一 起 封装 在 
与 操作 系统 独立 的 被 称 为 安全 服务 器 的 组 件 中 。SELinux 安全 服务 器 定义 了 一 种 由 类 型 实 
施 (TE) 、 基 于 角色 的 访问 控制 (RBAC) 和 多 级 安全 (MLS) 组 成 的 混合 安全 策略 。 通 过 替换 
安全 服务 器 ,可 以 支持 不 同 的 安全 策略 。 

RSBAC( 基 于 规则 集 的 访问 控制 ) 是 根据 一 种 访问 控制 通用 架构 (GFAC) 模 型 开发 的 ， 
它 可 以 基于 多 个 模块 提供 灵活 的 访问 控制 。 所 有 与 安全 相关 的 系统 调用 都 扩展 了 安全 实施 
代码 。 这 些 代码 调用 中 央 决 策 部 件 , 该 部 件 随后 调用 所 有 被 激活 的 决策 模块 ,形成 一 个 综合 
决定 ,然后 由 系统 调用 扩展 来 实施 该 决定 。 
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6. Linux 安全 工具 


网 络 上 有 各 种 各 样 的 攻击 工具 ,也 有 各 种 各 样 的 安全 工具 。 以 下 介绍 的 是 Linux 系统 
中 的 安全 工具 。 与 Linux 本 身 类 似 .这 些 安全 工具 大 多 也 是 开放 源 代码 的 自由 软件 ,恰当 地 
使 用 它们 ,可 提高 系统 的 安全 性 。 

1) tcpserver 

tcpserver 是 一 个 inetd 类 型 的 服务 程序 , 它 监听 进入 连接 的 请 求 ,为 要 启动 的 服务 设置 
各 种 环境 变量 ,然后 启动 指定 的 服务 。tcpserver 可 限制 同时 连接 一 个 服务 的 数量 。 当 服务 
忙 时 ,inetd 具有 一 种 连接 速率 限制 机 制 ,可 暂时 停止 服务 。 

2) xinetd 

xinetd 与 inetd 非常 相似 ,但 较 之 于 inetd 又 更 强大 更 安全 。 许 多 发 行 的 系统 版 本 都 带 
有 xinetd 程序 , 若 提供 的 服务 比较 简单 且 负担 较 轻 , 则 xinetd 是 一 个 较 合适 的 选择 。 

xinetd 具有 可 支持 TCP .UDP、RPC 服务 ,基于 时 间 段 的 访问 控制 ,具有 完备 的 log 功 
能 ,可 有 效 地 防止 DoS 攻击 ,可 限制 同时 运行 同类 服务 器 数目 ,可 限制 启动 的 服务 数目 ,可 
作为 其 他 系统 的 代理 ,可 在 特定 端口 绑 定 某 项 服务 ,从 而 实现 只 允许 私有 网 络 访问 该 服务 等 
特点 。 

3) sudo 

sudo 是 一 个 允许 系统 管理 员 给 予 特定 的 普通 用 户 ( 或 用 户 组 ) 有 限 的 超级 用 户 特权 ,使 
其 能 够 以 超级 用 户 或 其 他 用 户 身 份 运行 命令 并 记录 其 所 有 命令 和 参数 的 程序 。 最 基本 的 原 
则 是 在 普通 用 户 可 以 完成 工作 的 范围 内 ,给 予 尽 可 能 少 的 特权 。sudo 以 命令 方式 操作 , 它 
不 是 shell 的 替代 品 。sudo 可 以 限制 用 户 在 每 个 主机 上 运行 的 命令 ; 可 对 每 个 命令 都 进行 
记录 ,以 便 清楚 地 审核 谁 做 了 什么 ; 可 为 “通行 证 系统 ”提供 标记 日 期 的 文件 。 

4) 安全 检查 工具 nessus 

nessus 是 一 个 远程 安全 扫描 器 。 它 是 自由 软件 ,功能 强大 ,更 新 快 ,易于 使 用 。 安 全 扫 
描 器 的 功能 是 对 指定 的 网 络 进行 安全 检查 和 弱点 分 析 , 确 定 是 否 有 攻击 者 入 侵 或 是 否 存 在 
某 种 方式 的 误 用 ,寻找 导致 对 手 攻击 的 安全 漏洞 。nessus 的 安全 检查 是 由 plug-ins 插件 完 
成 的 , 除 该 插件 外 ,nessus 还 提供 描述 攻击 类 型 的 脚本 语言 (NSSL) 来 进行 附加 的 安全 
测试 。 

5) 监听 工具 sniffit 

sniffit 是 可 在 Linux 平 台 上 运行 的 网 络 监听 软件 , 它 主 要 用 来 监听 运行 TCP/IP 协议 
的 计算 机 ,以 发 现 其 不 安全 性 。 因 为 数据 包 必须 经 运行 sniffit 的 计算 机 才能 进行 监听 ,所 以 
它 只 能 监听 同一 个 网 段 上 的 计算 机 ,可 以 为 其 增加 某 些 插件 ,以 实现 额外 功能 。 可 以 配置 
sniffit 在 后 台 运行 ,以 检测 TCP/IP 端口 上 用 户 的 输入 /输出 信息 。 用 户 可 以 选择 源 、 目 的 
地 址 或 地 址 集合 ,还 可 以 选择 监听 的 端口 .协议 和 网 络 接口 等 。sniffit 会 将 监听 到 的 数据 包 
内 容 存 放 在 当前 工作 目录 下 ,可 以 直接 对 其 进行 查看 。 

6) 扫描 工具 nmap 

nmap(network mapper) 是 开放 源码 的 网 络 探 测 和 安全 扫描 工具 。 它 主要 用 来 快速 扫 
描 大 型 网 络 , 但 在 单机 上 也 能 很 好 地 工作 。nmap 可 以 查找 到 网 络 上 有 哪些 主机 ,它们 提供 
什么 服务 (端口 ) ,运行 什么 操作 系统 ,过滤 防 火 墙 使 用 哪些 类 型 的 数据 包 以 及 其 他 许多 特 
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征 。nmap 可 以 在 绝 大 多 数 计算 机 上 运行 ,有 命令 行 和 图 形 界 面 版 本 。nmap 具有 灵活 性 
好 、 功 能 强大 、 可 移植 性 好 、 文 档 支 持 和 技术 支持 良好 、 操 作 容 易 以 及 自由 性 、 流 行 性 好 等 


27 网 络 操作 系统 安全 实例 
27.1 网 络 操作 系统 漏洞 与 补丁 程序 安装 


1. Windows 系统 的 安全 漏洞 


虽然 Windows NT 系统 采用 了 较 强 的 安全 性 规则 ,但 该 系统 还 是 存在 许多 安全 漏洞 。 
而 Windows 2000 系统 面世 不 久 ,就 被 发 现存 在 安全 漏洞 。 如 果 用 户 不 能 对 这 些 漏洞 进行 
及 时 的 补救 ,系统 就 可 能 被 攻击 ,造成 不 必要 的 损失 。 下 面 简单 介绍 Windows NT/2000 的 
漏洞 及 相应 的 应 付 策略 。 

1) SAM 数据 库 漏洞 

SAM( 安 全 账户 管理 ) 数 据 库 的 一 个 拷贝 能 够 被 某 些 工具 用 来 破解 口令 ,这 样 的 工具 有 
PW Dump 和 NT Crack。Windows NT 的 Administrator 账户 \. Administrator 组 中 的 所 有 
成 员 、 备 份 操作 员 、 服 务 器 操作 员 以 及 所 有 具有 备份 特权 的 用 户 ,都 可 以 拷贝 SAM 数据 库 
的 内 容 。SAM 数据 库 的 另 一 个 漏洞 是 木马 和 病毒 可 能 利用 默认 权限 对 SAM 数据 库 进行 
备份 ,获取 访问 SAM 数据 库 中 的 口令 信息 ,或 通过 访问 紧急 修复 磁盘 的 更 新 盘 来 获取 

2) SMB 协议 漏洞 

SAM 数据 库 和 Windows NT 服务 器 文件 都 可 能 被 Windows NT 的 SMB (Server 
Message Block) 所 读 取 。 而 SMB 协议 存在 一 些 尚未 公开 的 漏洞 ,如 SMB 协议 可 不 用 授权 
即 可 存 取 SAM 数据 库 和 Windows NT 上 的 文件 ; SMB 协议 允许 远程 访问 共享 目录 。 
Registry 数据 库 和 其 他 一 些 系 统 服 务 ; SMB 协议 在 验证 用 户 身 份 时 ,使 用 一 种 简易 加 密 方 
法 发 送 申请 包 ,因此 它 的 文件 传输 授权 机 制 很 容易 被 击溃 。 

3) Registry 数据 库 权 限 漏洞 

Windows NT 上 的 默认 数据 库 Registry 的 权限 设置 有 很 多 不 合适 之 处 。Registry 数据 
库 的 默认 权限 是 将 “完全 控制 "(Full control) 和 “创建 ”"(Create) 权 限 赋予 了 “所 有 人 ”, 这 样 
的 设置 可 能 引起 Registry 数据 库 文件 被 删除 或 改变 。 

4) 权限 设置 漏洞 

Windows NT 系统 文件 权限 的 设置 上 存在 安全 漏洞 。 如 复制 或 移动 一 个 文件 到 其 他 目 
录 下 , 则 该 文件 的 权限 将 继承 其 新 目录 的 权限 。 而 在 Windows NT 系统 中 对 文件 进行 复制 
和 移动 操作 是 很 容易 的 。 

5) 建立 域 别 名 漏洞 

Windows NT 域 用 户 可 以 不 断 地 建立 新 的 用 户 组 直至 使 系统 资源 枯竭。Windows NT 
能 方便 地 建立 用 户 组 的 特性 很 容易 遭 到 拒绝 服务 的 攻击 。 虽 然 微软 公司 针对 该 问题 已 开发 
了 补丁 程序 ,但 用 户 发 现 该 补丁 程序 与 注册 表 的 设置 有 冲突 。 
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6) 登录 验证 机 制 漏 洞 

在 Windows 2000 启动 之 后 ,按照 屏幕 提示 按 下 Alt 十 Ctrl 十 Del 键 进行 登录 ,在 登录 界 
面 将 光标 移 至 用 户 名 输入 框 , 按 键盘 上 的 Ctrl 十 Shift 键 进行 输入 法 的 切换 ,屏幕 上 出 现 输 
入 法 状态 条 ,在 出 现 的 “全 拼 ” 输 入 法 中 将 鼠标 移 至 输入 法 状态 条 右 击 鼠标 ,在 出 现 的 选单 中 
选择 “帮助 ”, 然 后 继续 选择 “输入 法 入 门 ”, 在 窗口 顶部 会 出 现 几 个 按钮 ,奥妙 就 在 "选项 按 
钮 "上 。 如 果 是 未 安装 Windows 2000 Service Packl 或 IE 5.5 的 系统 ,用 鼠标 单 击 * 选 项 
按钮 ,在 出 现 的 选单 中 选择 “主页 ”, 这 时 在 已 出 现 的 帮助 窗口 的 右 侧 会 出 现 下 浏览 器 界面 
中 的 “此 页 不 可 显示 ?页 面 ,其 中 有 个 “检测 网 络 设置 "的 链接 ,点 击 它 就 会 出 现 网 络 设置 选 
项 ,这 样 任何 人 都 可 以 对 网 络 设置 甚至 控制 面板 做 任何 修改 。 单 者 在 用 鼠标 单 击 * 选 项 " 按 
钮 时 ,在 出 现 的 选单 中 选择 “Internet 选项 *, 就 可 以 对 主页 .连接 、 安 全、 高 级 选项 等 做 任何 
修改 。 最 为 严重 的 是 用 鼠标 右 击 先前 提 到 的 “选项 ”按钮 会 出 现 一 个 选单 ,选择 “ 跳 至 
URL”, 这 时 会 出 现 一 个 对 话 框 ,其 中 有 一 个 跳 至 该 URL 输入 框 ,输入 你 想 看 到 的 路 径 , 比 
如 C:\, 那 么 在 已 出 现 的 帮助 窗口 的 右 侧 会 出 现 资源 管理 器 C 盘 的 界面 显示 ,这 时 已 经 是 使 
用 系统 管理 员 权限 对 C 盘 进 行 操作 了 。 操 作者 可 以 对 看 到 的 数据 做 任何 的 操作 ,这 样 他 就 
完全 绕 过 了 Windows 2000 的 登录 验证 机 制 。 

7) NetBIOS 漏洞 

NetBIOS 共享 入 侵 问 题 从 Windows NT 问世 时 就 从 未 解决 , 且 它 一 直 是 Windows NT 
系统 最 常见 的 入 侵 手 段 。 特 别 是 IPC$Null Session( 空 对 话 ) 在 Windows NT 系统 里 是 已 
知 的 安全 隐患 ,虽然 加 了 SP3 补丁 程序 后 可 以 通过 修改 注册 表 对 其 进行 限制 ,但 不 知 为 什 
么 Windows 2000 中 又 原封 不 动 地 保留 了 该 漏洞 。 

8) Telnet 漏洞 

Windows 中 的 Telnet 是 网 络 管理 员 很 喜欢 的 网 络 实用 工具 之 一 。 在 Telnet 客户 端 通 
过 Windows 2000 系统 登录 的 情况 下 ,恶意 用 户 可 以 通过 欺骗 手段 使 得 受害 人 开启 恶意 
Telnet 服务 器 的 对 话 窗口 ,黑客 可 以 完全 修改 认证 信息 使 其 成 为 有 力 的 认证 条 件 从 而 使 用 
户 的 计算 机 深信 不 疑 。 幸 运 的 是 ,微软 发 布 了 一 个 有 效 的 补丁 从 而 排除 了 这 一 漏洞 。 

9) 奇怪 的 系统 崩溃 漏洞 

Windows 2000 系统 有 一 个 奇怪 的 漏洞 : 使 用 系统 的 终端 用 户 通 过 按 住 右 “Ctrl” 键 , 同 
时 再 按 两 次 “Scroll Lock” 键 ,就 可 使 整个 Windows 2000 系统 完全 崩溃 。 但 同时 又 在 
C:\WinNT\ 目 录 下 删除 完整 的 当前 系统 内 存 记录 ,内 存 记录 文件 名 为 Memory. dmp。 当 
然 , 这 个 奇怪 的 漏洞 在 默认 状态 下 是 关闭 的 ,但 可 通过 修改 注册 表 的 方法 将 其 激活 。 如 运行 
regedt32. exe(Windows 2000 的 32 位 注册 表 编 辑 器 ) ,进入 到 HKEY_LOCAL_ MACHINE 
\SYSTEM\ CurrentControlSet\ Services \i8042prt\Parameters 下 , 新建 一 个 名 为 Crash 
OnCtrlScroll 的 双 字 节 值 ,然后 再 设置 一 个 不 为 零 的 值 ,退出 后 重新 启动 。 

当 这 一 切 做 完 后 , 按 住 右 *Ctrl” 键 ,同时 再 按 两 次 “Scroll Lock” 键 ,就 可 以 尝试 系统 崩 
省 了 ,显示 器 出 现 黑屏 ,并 伴 有 以 下 信息 : 


xx#x STOP: 0x000000e2(0x00000000,0x00000000,0x00000000,0x00000000) 
The end-user manually generated the crashdump. 


值得 注意 的 是 ,该 奇怪 特性 在 Windows NT 中 也 存在 ,不 知 这 是 不 是 微软 程序 员 作 测 
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试 的 一 个 小 功能 。 不 过 ,要 是 被 黑客 或 病毒 利用 是 很 危险 的 。 

10) IIS 服务 泄露 文件 内 容 

Windows 的 IIS 是 在 大 多 数 Windows NT/2000 服务 器 上 使 用 的 服务 器 软件 。 安 装 了 
IIS 后 ,就 自动 安装 了 多 个 ISAPI(Internet 服务 的 应 用 编程 接口 ), 人 允许 开发 人 员 使 用 DLL 
扩展 IIS 服务 器 的 性 能 。 

IIS 服务 泄露 文件 内 容 漏洞 : 当 Windows IIS 4.0/5.0( 远 东 地 区 版 ) 在 处 理 包 含有 不 完 
整 的 双 字 节 编 码 字 符 的 HTTP 命令 请 求 时 ,将 导致 Web 目录 下 的 文件 内 容 泄露 给 远程 攻 
击 者 。 

Windows IIS 的 远东 地 区 版 本 包括 中 文 、 韩 文 和 日 文 版 ,这 些 都 是 使 用 双 字 节 编 码 的 格 
式 。 攻 击 者 通过 提交 一 个 特殊 的 URL, 可 使 IIS 使 用 某 个 ISAPI 动态 链接 库 打开 某 种 不 能 
解释 的 类 型 文件 ,并 获得 该 文件 的 内 容 。 依 靠 系统 安装 的 ISAPI 应 用 程序 的 类 型 ,攻击 者 
可 以 获得 Web 根 目 录 或 虚拟 目录 下 的 文件 内 容 ,这些 文 件 可 以 是 普通 的 文本 文件 ,也 可 以 
是 二 进 制 文件 。 

黑客 们 可 使 用 Unicode( 采 用 双 字 节 对 字符 进行 编码 的 统一 的 字符 编码 标准 ) 方 法 对 这 
个 漏洞 进行 攻击 。 可 以 说 这 是 近 一 段 时 期 较为 流行 的 攻击 入 侵 手 段 , 仅 国内 2003 年 初 就 有 
几 大 网 络 公司 网 站 被 这 样 攻击 。 

11) ICMP 漏洞 

ICMP 是 Internet 控制 报 文 协议 ,其 主要 作用 是 当 系 统 出 错时 向 源 主机 传输 错误 报告 
控制 信息 ,以 便 源 主机 更 好 地 重 发 失败 的 数据 报信 息 。ICMP 的 一 个 特点 是 无 连接 。 只 要 
发 送 端 完成 ICMP 报 文 的 封装 ,并 将 其 传输 给 路 由 器 ,该 报 文 就 会 自己 去 寻找 目的 地 址 。 该 
特点 使 得 ICMP 协议 非常 灵活 方便 ,但 这 同时 也 带 来 了 致命 的 缺陷 ,信息 包 很 容易 被 伪造 。 

任何 人 都 可 以 伪造 一 个 ICMP 报 文 并 发 送出 去 。 伪 造 者 可 以 利用 SOCK_RAW 编程 
直接 改写 报 文 的 ICMP 首部 和 IP 首部 ,这 样 的 报 文 携带 的 源 地 址 是 伪造 的 ,目的 端 根本 无 
法 追查 。 出 现 了 不 少 基于 ICMP 的 攻击 软件 ,有 的 通过 网 络 架 构 缺 陷 制造 ICMP 风暴 ,有 的 
使 用 大 报 文 堵塞 网 络 , 有 的 利用 ICMP 碎片 攻击 消耗 服务 器 CPU, 甚 至 在 通信 时 可 以 制造 
出 不 需要 任何 TCP/UDP 端口 的 木马 。 


2. 补丁 程序 


补丁 程序 是 指 对 于 大 型 软件 系统 (如 微软 操作 系统 ) 在 使 用 过 程 中 暴露 的 问题 (一 般 由 
黑客 或 病毒 设计 者 发 现 ) 而 发 布 的 解决 问题 的 小 程序 。 就 像 发 现 衣 服 有 破 洞 了 就 要 打 补 丁 
一 样 ,软件 的 补丁 用 来 修补 软件 程序 的 “漏洞 "。 因 为 软件 是 人 写 的 ,编程 人 员 在 编程 时 也 有 
考虑 不 周 ,不 完善 的 地 方 , 软 件 会 出 现 BUG ,而 补丁 是 专门 修复 这 些 BUG 的 。 原 来 发 布 的 
软件 存在 缺陷 ,发 现 之 后 另外 编制 一 个 小 程序 对 其 缺陷 进行 弥补 ,使 其 完善 ,这 种 小 程序 就 
称 为 “补丁 ”。 补 丁 是 由 软件 的 原作 者 制作 的 。 

补丁 程序 主要 有 系统 补丁 和 软件 补丁 。 系 统 补丁 顾名思义 就 是 操作 系统 的 不 定期 错误 
漏洞 修复 程序 ,如 微软 的 .UNIX、Linux 等 操作 系统 补丁 。 软 件 补丁 通常 是 因为 发 现 了 软件 
的 小 错误 ,为 了 修复 个 别 小 错误 而 推出 的 ,或 者 为 了 增强 某 些小 功能 而 发 布 的 ,或 者 是 为 了 
增强 文件 抵抗 电脑 病毒 感染 而 发 布 的 补丁 ,如 微软 的 Office 为 了 抵抗 宏 病 毒 而 打 补 丁 。 
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3. 补丁 程序 的 安装 


常用 的 “ 打 补 丁 ” 的 方法 有 两 种 , 即 利用 软件 的 自动 更 新 (Update) 功 能 和 手工 操作 。 
。 利用 系统 的 Update 功能 打 补 丁 。 如 果 软 件 提供 了 Update( 自 动 更 新 ) 功 能 , 打 补丁 
就 是 一 件 非常 简单 的 事情 ,只 需要 在 “开始 ?菜单 中 找到 Update 命令 , 单 击 后 即 可 自 
动 上 网 搜索 官方 网 站 ,检查 有 无 最 新 版 本 或 者 补丁 程序 。 
。 手 工 打 补 丁 。 多 数 补丁 需要 先 在 开发 商 网 站 或 软件 下 载 网 站 下 载 ,然后 再 在 本 机 上 
运行 相应 命令 来 完成 。 有 些 补丁 需要 按照 一 定 操作 步 又 来 完成 ,因此 在 打 补 丁 之 前 
要 先 仔细 阅读 其 说 明文 档 , 以 免 产 生 错 误 , 造 成 不 可 挽回 的 损失 。 
一 些 重要 软件 产品 的 补丁 网 址 和 主要 公司 的 补丁 网 站 如 下 : 
“Windows 2000 安全 补丁 ”(Windows 2000 Service Pack 2) 的 下 载 网 址 是 http:// 
www8. pconline. com. cn/download/swdetail. phtml?id 一 1746 。 
“Windows 2000 安全 补丁 集 ”(Windows 2000 Security RollupPackage) 的 下 载 网 址 是 
http://202. 102. 231. 142/code/fixdown/down/download. asp?id=2209&.tp= filename。 
微软 公司 的 补丁 网 站 是 http://www. microsoft. com/china/msdownload/? MSCOMTB= 
MS_Products。 
Macromedia 公司 的 补丁 网 站 是 http://www. macromediachina. com/downloads。 


专门 的 补丁 网 站 地 址 是 http://www. mypatch. net。 
272 Windows 2003 系统 的 安全 操作 与 设置 


Windows Server 2003 系统 的 安全 设置 和 管理 内 容 很 多 ,在 这 里 只 介绍 Windows 
Server 2003 系统 常用 的 安全 操作 和 设置 。 


1. 清除 默认 共享 隐患 


使 用 Windows Server 2003 的 用 户 都 会 碰 到 一 个 问题 ,就 是 系统 在 默认 安装 时 ,都 会 产 
生 上 默认 的 共享 文件 夹 。 虽 然 用 户 并 没有 设置 共享 ,但 每 个 盘 符 都 被 Windows 自动 设置 了 共 
享 ,其 共享 名 为 盘 符 后 面 加 一 个 符号 $$ (共享 名 称 分 别 为 c$ 、d$ ,ipc$ 等 )。 这 样 一 来 ,只 
要 攻击 者 知道 了 该 系统 的 管理 员 密 码 , 就 有 可 能 通过 输入 “\\ 工 作 站 名 \ 共 享 名 称 ” 来 打开 系 
统 的 指定 文件 夹 , 用 户 精心 设置 的 安全 防范 就 不 安全 了 。 因 此 应 将 Windows Server 2003 
系统 默认 的 共享 隐患 从 系统 中 清除 掉 ,可 采用 以 下 步骤 ， 

。 在 开始 菜单 的 “运行 "中 输入 gpedit. msc, 确 认 后 即 可 打开 组 策略 编辑 器 。 

。 单 击 “用 户 配置 ”~Windows 设置 一 脚本 (登录 /注销 ) 一 登录 ( 见 图 2. 1) 。 

。 双击 “登录 ”, 在 出 现 的 “登录 属性 ”窗口 中 单 击 “ 添 加 ”。 

。 在 出 现 的 “添加 脚本 ”对 话 框 窗口 的 “脚本 名 ” 栏 中 输入 delshare. bat, 然 后 单 击 “ 确 

定 ” 按 钮 即 可 ( 见 图 2. 2) 。 

。 重新 启动 计算 机 系统 。 

这 样 就 可 以 自动 将 系统 所 有 的 隐藏 共享 文件 夹 全 部 取消 ,就 能 将 系统 安全 隐患 降 到 最 
低 限度 。 
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图 2.1 组 策略 编辑 器 


-[5|x| 
= | 
“本 地 计算 机 ”策略 图 由 # (时 /六 的) 
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日 各 Windows 设置 Ej 登录 
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日 国 Windows 设置 e 
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安全 设置 = 
由 Internet Explorer : 
由 生 管理 模板 全 
F 移 者 
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添加 脚本 [ ?|x 
和 本 名 四 : 
Ja 浏览 四) 
要 查看 保存 在 此 组 策略 对 旬 
显示 文件 GD) 


确定 


划 \ 


2.2 清除 默认 共享 


2. 杜绝 非法 访问 应 用 程序 


Windows Server 2003 是 一 种 服务 器 操作 系统 。 为 了 防止 非法 用 户 登 录 到 系统 中 并 随 
意 启动 服务 器 中 的 应 用 程序 ,给 服务 器 的 正常 运行 带 来 不 必要 的 麻烦 ,可 根据 不 同 用 户 的 访 
问 权限 ,来 限制 他 们 去 调用 应 用 程序 。 实 际 上 我 们 只 要 使 用 组 策略 编辑 器 作 进一步 的 设置 ， 
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即 可 实现 这 一 目的 。 具 体 步骤 如 下 : 
。 打开 如 图 2. 1 所 示 的 组 策略 编辑 器 窗口 ,然后 依次 打开 “本 地 计算 机 ?策略 一 用 户 
配置 一 管理 模板 一 系统 ”( 见 图 2. 3) 。 


而 组 策略 


文件 下 操作 查看 四 必 助 四 
和 祝 | 加 | 困 时 岛国 


白 发 MN 
往 软件 设置 设置 
图 Windows 设置 四 电源 管理 
图 Internet 通信 管理 
蚀 登录 时 不 显示 欢迎 屏 起 
龟 2000 年 份 转 译 
鲍 配 置 红 动 程序 搜索 位 置 
全 设备 驱动 程序 的 代码 签名 
鱼 自 定义 用 户 界面 
 ， 鲍 阻止 访问 命令 提示 符 
鱼 阻止 访问 注册 表 编辑 工具 
. 


铺 不 要 运行 指定 的 Windows 应 用 程序 


系统 
图 用 户 配置 文件 Ne es 鱼 关闭 自动 播放 
限制 这 此 程序 人 帮助 启动 


脚本 
图 CtrltMttDel 选 生 下 载 丢 失 的 COM 粗 件 
园 登录 全 Yinaovs 自动 更 新 


人 关闭 Windows Update 设备 驱动 程序 搜索 提示 
4 上 


EE 
| a \ 扩 展 人 入 古 了 


图 2.3 组 策略 编辑 器 中 的 系统 设置 


。 选择 “只 运行 许可 的 Windows 应 用 程序 ”并 双击 之 ,在 “设置 "中 选择 “已 启用 ”。 

。 单 击 下 面 的 “允许 的 应 用 程序 列表 ” 边 的 “显示 ”按钮 ,弹出 一 个 “显示 内 容 ” 对 话 框 。 
。 单 击 “ 添 加 ”按钮 来 添加 允许 运行 的 应 用 程序 ( 见 图 2. 4) 。 

这 样 操作 后 一 般 用 户 只 能 运行 “允许 的 应 用 程序 列表 ”中 的 程序 。 


3. 禁用 IPC 连接 


IPC$ (Internet Process Connection) 是 共享 “命名 管道 ”的 资源 , 它 是 为 了 使 进程 间 通 
信 而 开放 的 命名 管道 。 通 过 提供 可 信任 的 用 户 名 和 口令 ,连接 双方 计算 机 即 可 建立 安全 的 
通道 ,并 以 此 通道 进行 加 密 数据 的 交换 ,从 而 实现 对 远程 计算 机 的 访问 。 它 是 Windows 
NT/2000/2003 特有 的 功能 ,但 它 有 一 个 特点 , 即 在 同一 时 间 内 ,两 个 IP 之 间 只 允许 建立 一 
个 连接 。 系 统 在 提供 了 IPC$ 功能 的 同时 ,在 初次 安装 系统 时 还 打开 了 默认 共享 ， i 的 
逻辑 共享 (c$ 、d$ 、e$ 等 ) 和 系统 目录 windows(admin$ ) 共 享 。 这 虽然 为 系统 管理 员 的 管 
理 提供 方便 ,但 也 为 IPC 入 侵 者 提供 了 方便 条 件 ,导致 系统 的 安全 性 能 降低 。 ss 
全 起 见 , 禁 用 IPC 连接 。 可 以 通过 修改 注册 表 来 实现 禁用 IPC 连接 。 


4. 清空 远程 可 访问 的 注册 表 路 径 


众所周知 , Windows Server 2003 系统 提供 了 注册 表 的 远程 访问 功能 ,只 有 将 远程 可 访 
问 的 注册 表 路 径 设置 为 空 , 才 能 有 效 地 防止 黑客 利用 扫描 器 通过 远程 注册 表 读 取 计 算 机 的 
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设置 | 说 明 | 
龟 只 运行 许可 的 Wadows 应 用 程序 


个 未 配置 
已 和 用 
个 已 禁用 吧 


至 少 Wierosoft Window 


二 四 下 一 三 


确定 


图 2.4 人 允许 的 应 用 程序 列表 对 话 框 


系统 信息 。 设 置 远程 可 访问 的 注册 表 路 径 为 空 的 步骤 如 下 
。 打开 组 策略 编辑 器 ,在 图 2. 1 所 示 组 策略 中 ,展开 * 计 算 机 配置 ~Windows 设置 一 安 
全 设置 一 本 地 策略 ”。 
。 单 击 “ 安 全 选项 ”, 在 右 侧 窗口 中 找到 “网 络 访问 : 可 远程 访问 的 注册 表 路 径 ”, 并 双 
击 之 ,如 图 2.5 所 示 。 
。 在 打开 的 “网 络 访问 : 可 远程 访问 的 注册 表 路 径 属性 "窗口 中 ,将 可 远程 访问 的 注册 
表 路 径 和 子路 径 内 容 全 部 设置 为 空 ,再 单 击 “ 确 定 ” 即 可 。 
另外 ,在 进行 安全 设置 时 ,对 如 图 2.5 所 示 的 本 地 策略 的 安全 选项 设置 可 以 考虑 将 “网 
络 访问 : 可 匿名 访问 的 共享 ”“ 网 络 访问 : 可 匿名 访问 的 命名 管道 "和 “网 络 访 问 : 可 远程 访 
问 的 注册 表 路 径 和 子路 径 ” 三 项 全 部 删除 ; 将 “不 允许 SAM 账户 的 匿名 枚 举 ”“ 不 允许 
SAM 账户 和 共享 的 匿名 枚 举 *“ 网 络 访问 : 不 允许 存储 网 络 身 份 验 证 的 凭据 或 
. NETPassports” 和 “网 络 访问 : 限制 匿名 访问 命名 管道 和 共享 ”四 项 更 改 为 “已 启用 ”。 


5. 关闭 不 必要 的 端口 和 服务 


对 于 个 人 用 户 来 说 ,系统 安装 过 程 中 默认 的 有 些 端口 是 没有 什么 用 途 的 ,应 该 关 掉 这 
端口 , 即 关 闭 无 用 的 服务 。 

1) 关闭 139 端口 

139 端口 是 NetBIOS 协议 所 使 用 的 会 话 服务 端口 ,在 安装 了 TCP/IP 协议 的 同时 ， 
NetBIOS 也 会 被 作为 默认 设置 安装 到 系统 中 。 该 端口 的 开放 意味 着 硬盘 可 能 会 在 网 络 中 
共享 ,网 上 黑客 可 通过 NetBIOS 了 解 用 户 电 脑 中 的 一 切 。 在 以 前 的 Windows 版 本 中 ,只 
要 不 安装 Microsoft 网 络 的 文件 和 打印 共享 协议 ,就 可 关闭 139 端口 。 但 在 Windows 
Server 2003 系统 中 ,要 单独 进行 关闭 139 端口 的 操作 才 行 。 关闭 139 端口 的 具体 步骤 
如 下 : 


上 
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| 文件 外。 搞 作 愉 ) 查看 WW) 天助 名 

[全 十 | 四国 | 关 甸 最 | 区 国 

[可 二 地 :+ 复 机 ”第 叫 
加 计 和 机 配置 


可 远程 访问 的 注册 表 路 径 属性 
不 光 主 SA 帐户 的 曲直 地 策 咯 设置 | 解释 此 设置 | 


图 软件 设置 国 网 络 访 问 :不 允许 sj 帐户 和 共 
日 外 Windors 设置 不 允许 为 网 络 身份 1 Es 网 络 访 问 - 可 运程 访问 的 注册 表 路 径 
可 匿名 访问 的 共享 
本 eid 


ye 权限 应 F 
区 许 匿 名 STD/ 名 称 于 
对 非 Windows 子 系 绷 
由 hdninistrators 


国 城 成 员 对 安 便道 小 据 进行 对 
辆 域 成 员 - 需要 强 rindorx 2000 


Cm ] wn 应 用 让 


区 
到 国外 重合 名 系统 痢 理 员 帐 户 
- I 


图 2.5 进入 远程 可 访问 的 注册 表 路 径 


。 用 鼠标 右 击 “ 网 络 邻居 ”, 选 择 * 属 性 ”, 进 入“ 网络 和 拨号 连接 ”。 

。 右 击 “本 地 连接 ”, 选 择 * 属 性 ,打开 * 本 地 连接 属性 ?页 

。 去 掉 “Microsoft 网 络 的 文件 和 打印 共享 ?前面 的 ”/”( 如 图 2.6 所 示 ) 。 

。 选中 * Internet 协议 (TCP/IP)”, 依 次 单 击 “ 属 性 ”一 “高 级 ”一 “WINS”, 把 “禁用 

TCP/IP 上 的 NetBIOS” 选 中 , 即 可 完成 任务 ,如 图 2.7 所 示 。 

2) 关闭 445 端口 

445 端口 是 一 把 * 双 刃 剑 ", 有 了 它 用户 可 以 在 局 域 网 中 轻松 访问 各 种 共享 文件 夹 或 共 
享 打印 机 ， 和 出 下 年 国 为 有 于 全 黑客 们 才 有 了 可 乘 之 机 。 他 们 可 通过 该 端口 偷偷 共 dd 


机 可 箭 圭 增 住 445 端口 漏洞 。 
HKEY_LOCAL MACHINE\System\CurrentControlSet\Services\NetBT\Parameters 


选择 “Parameters” 项 , 右 击 , 选择 “新 建 ” 一 “DWORD 值 ”, 将 DWORD 值 命名 为 
“SMBDeviceEnabled”, 数 值 为 0。 
3) 关闭 135 端口 
关闭 135 端口 的 步骤 如 下 : 
。 单 击 “开始 ”运行 ”, 输 入 "dcomcnfg”, 单 击 “ 确 定 ”", 打 开 组 件 服务 。 
。 在“ 组件 服务 ”对 话 框 中 ,选择 “计算 机 ”选项 ,如 图 2. 8 所 示 。 在 “计算 机 ?选项 中 , 右 
击 * 我 的 电脑 ”, 选 择 * 属 性 ”。 
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[一 收藏 Wi) I 具 TD) 商 级 中 砷 的 | 寺 
a 
地 址 吕 ) 二 同 洛 壬 扩 Bn 
| i 或 商 束 Internet 
使 设置 家 话 葡 小 型 办 公 最 | 让 re Es CE 
ntons 二 人 et 
增设 置 2 


多 和 用 此 网 结 设备 
A 修复 此 连 按 

友 罩 刘 各 此 连接 
岂可 看 此 连 近 的 从 帮 
国 更 站 此 连接 的 访 置 


连接 时 使 用 ; 
宽带 过 接 了 Fesltek RTLB139 Fanily FCI Pas 
A 


回 Internet 协议 CCP/ITP) 


其 它 位 置 人 
EB eit -一 | Rw | Rom | 
于 pe 它 计算 机 用 出 crosoft 网 络 访问 您 的 计算 机 上 的 
最 我 的 电脑 
友 连接 后 在 通知 区 城 显示 图 标 站 
详细 信息 人 ”此 这 接 补 限制 或 无 连接 时 通知 我 吧 ) 
本 地 连接 
LAN 或 高 速 Internet 确定 取消 
已 连接 上 ， 有 防火 墙 的 
Roslt ol RTLB139 Fonily FCT Fast Ethernet NIC 及 


图 2.6 Microsoft 网 络 的 文件 和 打印 共享 


下 设置 | ms WI | 过 项 | 
FTIS 地 址 控 使 用 届 序 排列) 由 ”一 一 一 一 


从 文件 和 换 作 人 ) 查看 WD 窗口 如 帮助 
(| se | "| | exe 
加 果 局 用 UDSTS 查 拢 ， 它 格 应 用 于 所 有 司 用 TCP/IFP 的 汉 接 。 J | 计算 机 ”个 对 象 
克 启用 Unsts 查找 导入 LInsTS 节 | 
[NetBIOS 设置 
MUD: 
DCP 


人 


C 有 四 be 


图 2.7 禁用 TCP/IP 上 的 NetBIOS 图 2.8 组 件 服务 


。 在 出 现 的 “我 的 电脑 属性 ”对 话 框 默认 属性 ”选项 卡 中 ,不 选中 “在 此 计算 机 上 启用 
分 布 式 COM” 选 项 ， ta 2.9 所 示 。 

。 选择 “默认 协议 ”选项 卡 ,选中 “面向 连接 的 TCP/IP”, 单 击 “ 删 除 ”按钮 。 

。 easy 2. 10 所 示 。 

重新 启动 后 即 可 关闭 135 端口 。 

4) 关闭 自动 播放 服务 

自动 播放 功能 不 仅 对 光驱 起 作用 ,而且 对 其 他 驱动 器 也 起 作用 ,这 样 很 容易 被 黑客 利用 
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来 执行 黑客 程序 ,因此 ,可 以 考虑 关闭 该 服务 。 关 闭 自动 播放 服务 的 操作 为 : 


EE 加 到 
富 规 “| 选 硕 。 默认 必 性 | 默认 协议 | sorc | com 安全 | 常规 “| 选项 “| 默认 属性 默认 协议 | nsmrc | cou 安全 | 
厂 洽 下 计算 机 上 启用 从 着 区 CoN 训 ) 
厂 在 此 计算 机 上 启用 COW Internet 服务 加 
默认 分 布 式 coW 通信 和 司 性 
身份 验证 红 别 定义 数据 包 约 别 上 的 安全 性 。 
默认 身份 验证 级 别 员 ); 
| 连接 


Dy 


和 以 及 是 否 可 以 使 


默认 模拟 是 别 江 ) 
[a 了 


REERNA OF 各 ， 则 可 以 提供 引用 跟 
三 提供 附加 的 5| 用 限 踪 安全 性 E) 


取消 用 邮 
图 2.9 我 的 电脑 属性 图 2.10 面向 连接 的 TCP/IP 


。 打开 组 策略 编辑 器 ,依次 展开 “计算 机 配置 一 管理 模板 一 系统 ”。 

。 在 右 侧 窗 口中 找到 “关闭 自动 播放 ”( 如 图 2. 3 所 示 ) 选 项 并 双击 。 

。 在 打开 的 对 话 框 中 选择 “已 启用 ”, 然 后 在 “关闭 自动 播放 ”后 面 的 下 拉 菜 单 中 选择 

“所 有 驱动器”, 单 击 “ 确 定 ” 按 钮 即 可 生效 。 

另外 ,打开 “本 地 连接 ”的 Windows 2003 自 带 的 防火 墙 ,可 以 屏蔽 端口 ,基本 可 达到 
IPSec 的 功能 。 例 如 ,只 保留 远程 桌面 服务 端口 3389、Web 服务 端口 80、FTP 服务 端口 21、 
邮件 服务 器 端口 25 .POP3 服务 端口 110、 网 页 浏览 端口 443 和 SQL 监听 端口 1433 等 有 用 
的 端口 ,将 其 余 端口 屏蔽 掉 。 

把 不 必要 的 服务 都 禁止 掉 , 尽 管 这 些 不 一 定 能 被 攻击 者 利用 得 上 ,但 是 按照 安全 规则 和 
标准 看 ,多 余 的 东西 就 没 必要 开启 ,这 样 还 可 减少 一 份 隐患 。 对 于 个 人 用 户 , 可 以 在 各 项 服 
务 属性 设置 中 将 要 关闭 的 服务 设 为 “禁用 ”, 这 样 在 下 次 重启 服务 后 不 需要 的 服务 就 关闭 了 。 

Windows 2003 系统 中 还 可 关闭 如 下 不 常用 的 服务 : 

。 Computer Browser( 维 护 网 络 上 计算 机 的 最 新 列表 及 提供 这 个 列表 ) 。 

。 Task scheduler (允许 程序 在 指定 时 间 运 行 )。 

Messenger (传输 客户 端 和 服务 器 之 间 的 NET SEND 和 警报 器 服务 消息 ) 。 
Distributed File System( 局 域 网 管理 共享 文件 ) 。 

Distributed linktracking client( 用 于 局 域 网 更 新 连接 信息 )。 

Error reporting service( 发 送 错误 报告 ) 。 

Microsoft Search( 提 供 快速 的 单词 搜索 )。 
PrintSpooler( 如 果 没 有 打印 机 可 禁用 )。 

Remote Registry( 远 程 修改 注册 表 ) 。 

Remote Desktop Help Session Manager( 远 程 协助 ) 。 
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6. 删除 不 安全 的 组 件 


一 些 ASP 木马 或 一 些 恶 意 程 序 都 会 使 用 到 WScript. Shell 和 Shell. application 这 两 个 
组 件 。 采 用 如 下 方法 可 删除 或 印 载 这 两 个 组 件 ; 

删除 注册 表 [HKEY _ CLASSES _ ROOT\ CLSID\ {72C24DD5-D70A-438B-8A42- 
98424B88AFB8) ] 对 应 的 WScript. Shell。 

删除 注册 表 [HKEY _ CLASSES _ ROOT \ CLSID \ {13709620-C279-11CE-A49E- 
444553540000})] 对 应 的 Shell. application。 

利用 regsvr32 /u wshom. ocx 鲫 载 WScript. Shell 组 件 。 

利用 regsvr32 /u shell32. dll 印 载 Shell. application 组 件 。 


7. 账户 锁定 设置 


账户 锁定 策略 是 一 项 Active Directory 安全 功能 。 在 指定 时 间 段 内 ,如 果 登 录 尝 试 失 
败 次 数 达 到 指定 次 数 , 它 会 锁定 用 户 账户 并 禁止 登录 。 人 允许 尝试 的 次 数 和 时 间 段 基于 为 账 
户 锁定 设置 的 值 。 账 户 锁定 策略 还 可 以 指定 锁定 期 限 。 账 户 锁定 设置 有 助 于 防止 攻击 者 猜 
测 用 户 密 码 ,并 且 会 降低 对 网 络 环境 攻击 成 功 的 可 能 性 。 

单 击 “开始 ”运行 ”输入 secpol. msc, 打 开本 地 安全 设置 界面 , 选 定 * 账 户 锁定 策略 ”， 
如 图 2. 11 所 示 。 双 击 账户 锁定 阔 值 ,在 出 现 的 对 话 框 中 输入 允许 尝试 的 最 大 登录 次 数 , 确 
认 即 可 ,如 图 2. 12 所 示 。 


文件 到 ) 操作 WW) 查看 WW 大 助人 D 


第 略 
国外 位 由 户 转 定 计数 器 
帐户 锐 定 时 间 


加 | 
阐 贝 P 锐 定局 值 


2.11 账户 锁定 策略 


27.3 Linux 操作 系 统 安全 及 服务 器 配置 


人 们 普遍 认为 Linux 比 Windows 安全 ,这 是 有 道理 的 。 因 为 Windows 树 大 招 风 ,这 应 
该 算是 其 中 的 一 个 原因 吧 。 但 Linux 也 不 是 绝对 安全 的 ,尤其 是 在 默认 设置 情况 下 。 本 节 
介绍 Linux 系统 的 安全 及 基于 Linux 的 服务 器 的 安全 设置 。 


1. BIOS 的 安全 设置 
首先 用 户 要 给 自己 的 BIOS 设置 密码 ,这 是 最 基本 的 要 求 。 这 样 可 以 防止 通过 在 BIOS 
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文件 下 ”操作 心 查看 如 和 帮助 中 


第 略 

柄 复位 帐户 同 定 计数 器 
辆 帐户 饥 定 时 间 十 月 
辆 帐户 锁定 网 赴 0 次 


` 钥 第 略 
由 国 软件 限制 第 略 
由 轧 匡 安全 策略 ， 在 本 地 计 


在 发 生 以 下 情况 之 后 ， 扎 定 帐 户 
避 习 次 无 站 登录 


图 2.12 最 大 登录 次 数 设 定 


中 改变 启动 顺序 ,而 从 软盘 启动 。 这 


可 以 阻止 别人 进入 BIOS 改动 其 中 的 设置 ,使 机 器 的 硬件 设置 不 能 被 别人 随 


2. GRUB 安全 设置 


1) 设置 全 局 口令 锁定 启动 菜单 
全 局 口令 用 于 设置 只 允许 用 户 选 
的 启动 菜单 和 菜单 项 设置 口令 ,在 grub. conf 的 全 局 配置 部 
title 上 输入 password yaohoo。 
grub/grub. conf”, 即 可 进入 如 图 2 


先 择 启动 菜单 项 进行 启动 。 


. 13 所 示 编 辑 界面 进行 编辑 。 


f root@yesir: 


图 2.13 


设置 全 局 口令 


设置 全 局 口令 后 ,GRUB 启 
菜单 进行 其 他 
动 菜 单 选 “*P”, 输 入 口令 解锁 即 可 恢复 正常 的 状态 。 

2) 使 用 全 局 口令 锁定 启动 菜单 

GRUB 提供 了 菜单 项 级 别 的 保护 。 
令 进行 锁定 。 如 果 启 动 该 菜单 项 需 先 输入 全 局 口令 对 该 菜单 项 进 

Oz 设置 GRUB 全 局 口令 。 


对 于 需要 保护 的 菜单 项 ,可 以 使 


Linux 下 用 vi/vim 命令 来 编辑 ,如 输入 命令 


菜单 被 锁定 ,此 时 只 允许 选择 菜单 项 进行 启 
果 作 (如 编辑 、 进 入 命令 行 界面 等 ) 都 应 先 对 启动 菜单 进行 解锁 。 在 锁定 的 启 


样 可 以 阻止 别人 试图 用 特殊 的 启动 盘 启 动 你 的 系统 ,还 


意 改动 。 


password 命令 可 为 GRUB 
刷 分 使 用 password , 例 pi 第 一 个 


i /boot/ 


动 。 如 需 对 


已 设置 的 全 局 口 


进行 解锁 。 设 置 步骤 如 下 : 
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G@ 在 菜单 项 配置 中 使 用 lock 命令 锁定 菜单 项 ,如 图 2. 14 所 示 。Lock 的 作用 是 使 用 全 
局 口令 锁定 某 启动 菜单 项 。 该 命令 没有 参数 ,一 般 紧 跟 title。 锁 定 启动 菜单 项 中 lock 之 后 
的 所 有 命令 ,直到 输入 正确 的 口令 。 


root@yesir:™ 


on ro root=/dev/sda3 


-- INSERT -- 


图 2.14 使 用 lock 命令 锁定 菜单 


当 需 要 对 不 同 启动 菜单 项 使 用 不 同 的 口令 进行 验证 管理 时 ,可 以 在 各 菜单 项 中 使 用 独 
立 的 password 设置 ,如 图 2.15 所 示 。 这 样 ,就 可 以 实现 全 局 口令 和 菜 单项 口令 的 分 级 管 
理 。 如 为 某 菜单 项 设置 独立 口令 最 好 先 设 置 全 局 口令 ,并 确保 口令 字 各 不 相同 ,如 不 设置 全 
局 口令 会 造成 菜单 项 口令 的 泄露 。 


f root@yesir 


Ee 


FE 


4 


15 ro root=LABEL 


图 2.15 password 设置 


3) 使 用 MD5 加 密 口令 

为 了 避免 在 配置 文件 中 使 用 明文 口令 ,可 采用 MD5 加 密 口令 ,如 图 2.16 所 示 。 

4) 口令 安全 

口令 可 以 说 是 系统 的 第 一 道 防线 ,目前 网 上 的 大 部 分 对 系统 的 攻击 都 是 从 截获 口令 或 
者 猜测 口令 开始 的 ， a nid 

首先 ,要 杜绝 不 设 口 令 的 账号 存在 。 这 可 以 通过 查看 /etc/passwd 文件 发 现 。 如 果 用 
户 名 为 test 的 账号 没有 设置 口令 , 则 在 /etc/passwd 文件 中 就 有 

test ::100:9::/home/test:/bin/bash 
该 行 的 第 二 项 为 空 , 说 明 test 账号 没有 设置 口令 ,这 是 非常 危险 的 ,应 将 该 类 账号 删除 或 者 
设置 口令 。 
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FP root@yesir:™ 


图 2.16 采用 MD5 加 密 口令 


其 次 ,在 旧版 本 的 Linux 中 ,/etc/passwd 文件 中 包含 有 加 密 的 密码 。 这 样 会 给 系统 的 
安全 性 带 来 很 大 的 隐患 ,因为 可 以 用 暴力 破解 的 方法 来 获得 密码 。 可 以 使 用 命令 


/usr/sbin/pwconv 


或 

/usr/sbin/grpconv 
建立 /etc/shadow 或 /etc/gshadow 文件 ,这 样 在 /etc/passwd 文件 中 不 再 包含 加 密 的 密码 ， 
而 是 将 密码 放 在 /etc/shadow 文件 中 ,该 文件 只 有 超级 用 户 root 可 读 。 

第 三 ,修改 一 些 系 统 账号 的 Shell 变量 。 一 定 不 要 为 uucp ,ftp news 及 一 些 仅仅 需要 
FTP 功能 的 账号 设置 /bin/bash 或 /bin/sh 等 Shell 变量 。 可 以 在 /etc/passwd 中 将 其 Shell 
变量 置 空 ,例如 设 为 /bin/false 或 /dev/null 等 ,也 可 以 使 用 “usermod 
username” 命 令 更 改 username 的 Shell 为 /dev/null。 这 样 使 用 这 些 账 号 就 不 能 Telnet 远程 
登录 到 系统 中 来 了 。 

第 四 ,要 修改 默认 的 密码 长 度 。 在 用 户 安装 Linux 时 默认 的 密码 长 度 是 5 个 字 节 。 但 
这 似乎 不 够 ,应 该 再 增加 一 些 位 数 , 比 如 把 它 设 为 8 字 节 ,如 图 2.17 所 示 。 全 夏天 密码 长 
度 需要 编辑 login 程序 的 配置 文件 login. defs(vi/etc/login. defs) 。 


/dev/null 


root@yesir:™ 


# Password agim 
# 
PASS_MAX 
used. 


图 2.17 修改 默认 密码 长 度 


5) 自动 注销 账号 
UNIX/Linux 系统 中 root 账户 具有 最 高 的 权限 。 如 果 系 统管 理 员 在 离开 系统 之 前 ? 
记 注销 root 账户 , 那 将 会 带 来 很 大 的 安全 隐患 。 因 此 ,应 该 让 系统 自动 注销 该 账号 。 这 可 


下 
可 
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通过 修改 账户 中 “TMOUT” 参 数 ( 如 图 2. 18 所 示 ) 来 实现 此 功能 。 编 辑 系统 的 profile 文件 
(vi /etc/profile, 用 /histsize\c 找到 HISTSIZE) ,在 “HISTSIZE 王 ”后面 加 入 


TMOUT = 300 


图 2.18 设置 账户 TMOUT 参数 


TMOUT 是 按 秒 计算 的 ,这 里 的 300 表示 300 jg 这 样 ,如 果 系 统 中 登录 的 用 户 在 5 分 钟 内 

都 没有 动作 ,那么 系统 会 自动 注销 这 个 账户 。 管 理 员 也 可 以 在 个 别 用 户 的 “. bashre” 文 件 中 

添加 该 值 ,以 便 系统 对 该 用 户 实行 特殊 的 自动  。 
改变 该 项 设置 后 ,必须 先 注销 用 户 ,再 用 该 用 户 登 录 才 能 激活 此 功能 。 

6) 取消 普通 用 户 的 控制 台 访问 权限 

可 采用 shutdown reboot halt 等 命令 取消 普通 用 户 的 控制 台 访 问 权限 ,如 : 


rm 一 上 /etc/security/console. apps/halt 

rm 一 上 /etc/security/console. apps/poweroff 

一 上 /etc/security/console. apps/reboot 

rm 一 上 /etc/security/console. apps/shutdown 

rm 一 上 /etc/security/console.apps/xserver (此 时 只 有 root 能 用 x) 


茜 茜 茜 茜 共 
| 
弓 


7) 取消 并 反 安 装 所 有 不 用 的 服务 

在 系统 中 取消 并 反 安装 所 有 不 用 的 服务 ,就 会 减少 很 多 风险 。 查 看 “/etc/inetd. conf” 
文件 ,通过 注释 取消 所 有 不 需要 的 服务 (在 该 服务 项 目 之 前 加 一 个 “#”) ,然后 用 “sighup” 命 
令 升 级 “inetd. conf” 文 件 。 

第 一 步 : 更 改 “/etc/inetd. conf” 权 限 为 600, 只 允许 root 来 读 写 该 文件 。 


# chmod 600 /etc/ inetd. conf 


第 二 步 : 确定 “/etc/inetd. conf” 文 件 所 有 者 为 root。 

第 三 步 : 编辑 /etc/inetd. conf 文件 (vi /etc/inetd. conf) ,取消 不 需要 的 服务 ,如 ftp、 
telnet shell login .exec\talk ntalk imap、pop3 ,finger、auth 等 。 把 不 需要 的 服务 关闭 可 以 
使 系统 的 危险 性 降低 很 多 。 

第 四 步 : 给 inetd 进程 发 送 一 个 HUP 信号。 


# killall — HUP inetd 
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第 五 步 : 用 chattr 命令 把 /ec/inetd. conf 文件 设 为 不 可 修改 ,这 样 就 可 以 防止 对 inetd. 
conf 的 任何 修改 。 


# chattr +i /etc/inetd. conf 


唯一 可 以 取消 该 属性 的 用 户 只 有 root。 如 果 要 修改 inetd. conf 文件 ,首先 要 用 下 行 命 
令 取 消 不 可 修改 属性 ,修改 后 再 把 它 的 性 质 改 回 不 可 修改 的 。 


# chattr -i /etc/inetd. conf 


8) TCP_WRAPPERS 

使 用 TCP_WRAPPERS 可 以 使 系统 安全 面 对 外 部 人 侵 。 最 好 的 策略 就 是 阻止 所 有 的 
主机 (在 “/etc/hosts. deny" 文 件 中 加 入 “ALL: ALL@ ALL,PARANOID”) 登录 ,然后 再 在 
“/etc/hosts. allow” 文 件 中 加 入 所 有 允许 访问 的 主机 列表 。 

第 一 步 : 编辑 hosts. deny 文件 (vi /etc/hosts. deny) ,加 入 如 下 一 行 


# Deny access to everyone ALL: ALL(@ALL, PARANOID 


这 表明 除非 该 地 址 包 在 允许 访问 的 主机 列表 中 ,否则 阻塞 所 有 的 服务 和 地 址 。 
第 二 步 : 编辑 hosts. allow 文件 (vi /etc/hosts. allow) ,加 入 允许 访问 的 主机 列表 ,比如 


ftp: 202.54.15.99 foo. com 


这 里 的 202. 54. 15. 99 和 foo. com 是 允许 访问 FTP 服务 的 IP 地 址 和 主机 名 称 。 

第 三 步 : tcpdchk 程序 是 tepd wrapper 设置 的 检查 程序 ,可 用 来 检查 tcp wrapper 设置 ， 
并 报告 发 现 的 潜在 和 真实 的 问题 。 设 置 完毕 ,运行 如 下 命令 即 可 。 

# tcpdchk 


9) 修改 /etc/host. conf” 文 件 
“/etc/host. conf” 说 明了 如 何 解 析 地 址 。 编 辑 */etc/host. conf” 文 件 (vi /etc/host. 
conf) ,加 入 如 下 命令 : 
# Lookup names via DNS first then fall back to /etc/hosts 
order bind, hosts 
# We have machines with multiple IP addresses 
multi on 
# Check for IP address spoofing 
nospoof on 
上 述 第 一 项 设置 首先 通过 DNS 解析 IP 地 址 ,然后 通过 hosts 文件 解析 ; 第 二 项 设置 检 
测 “/etc/hosts” 文 件 中 的 主机 是 否 拥 有 和 多 个 IP 地 址 (比如 有 多 个 以 太 口 网 卡 ); 第 三 项 设置 
说 明 要 注意 对 本 机 未 经 许可 的 电子 欺骗 。 
10) 禁止 从 不 同 的 设备 进行 root 登录 
“/etc/securetty” 文 件 允 许 你 定义 root 用 户 可 以 从 哪个 TTY 设备 登录 。 你 可 以 编辑 
“/etc/securetty” 文 件 , 在 不 允许 登录 的 TTY 设备 前 添加 “# ”标志 ,来 禁止 从 该 TTY 设备 
进行 root 登录 。 如 在 /etc/inittab 文件 中 有 如 下 一 段 话 : 


# Run gettys in standard runlevels 
1:2345 :respawn:/sbin/mingetty ttyl 
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2:2345 :respawn:/sbin/mingetty tty2 

井 3:2345:respawn:/sbin/mingetty tty3 
井 4:2345:respawn:/sbin/mingetty tty4 
#5:2345.;respawn:/sbin/mingetty tty5 
#6:2345;respawn: /sbin/mingetty tty6 

系统 默认 的 可 以 使 用 6 个 控制 台 。 而 在 3、4、5、6 序号 前 面 加 上 禁止 注释 标志 ”*# ”, 表 
示 禁 止 使 用 这 四 个 控制 台 ,而 只 有 另 两 个 控制 台 可 供 使 用 。 然 后 重新 启动 init 进程 ,改动 即 
可 生效 。 

11) Shell logging Bash 

shell 在 “一 /. bash_history”(“ 一 /表示 用 户 目 录 ) 文 件 中 保存 了 500 条 使 用 过 的 命令 ， 
这 样 可 以 为 用 户 在 输入 使 用 过 的 长 命令 时 提供 方便 。 每 个 在 系统 中 拥有 账号 的 用 户 在 他 的 
目录 下 都 有 一 个 “. bash_history” 文 件 。bash shell 应 该 保存 少量 的 命令 ,并 且 在 每 次 用 户 注 
销 时 都 把 这 些 历史 命令 删除 。 

第 一 步 :“/etc/profile” 文 件 中 的 “HISTFILESIZE” 和 “HISTSIZE” 行 确定 所 有 用 户 的 
“,bash_ history” 文 件 中 可 以 保存 的 旧 命 令 条 数 。 建 议 把 “/etc/profile” 文 件 中 的 
“HISTFILESIZE” 和 “HISTSIZE” 的 值 设 为 一 个 较 小 的 数 ,比如 30。 编 辑 profile 文件 
(vi/etc/profile) ,定义 两 个 值 如 下 : 

HISTFILESIZE = 30 

HISTSIZE = 30 

这 表示 每 个 用 户 的 “. bash_history” 文 件 可 以 保存 30 条 旧 命 令 。 

第 二 步 : 在 “/etc/skel/. bash_logout" 文 件 中 添加 


rm 一 上 5$ HOME/.bash_history 


这 样 , 当 用 户 每 次 注销 时 ,“. bash_history” 文 件 都 会 被 删除 。 
编辑 . bash_logout 文件 (vi /etc/skel/. bash_logout) ,添加 如 下 行 : 
rm — £$ HOME/. bash history 


12) 给 “/etc/rc. d/init, d” 下 的 script 文件 设置 权限 
给 执行 或 关闭 启动 时 执行 的 程序 的 script 文件 设置 权限 。 运 行 下 一 行 命令 ,说 明 只 有 
root 才 人 允许 读 、 写 ,执行 该 目录 下 的 script 文件 。 


# chmod — R700 /etc/rc.d/init.d/* 


13) 隐藏 系统 信息 

在 默认 情况 下 登录 到 Linux 系统 时 ,将 显示 该 Linux 发 行 版 的 名 称 、 版 本 、 内 核 版 本 、 服 
务 器 的 名 称 。 对 于 黑客 来 说 这 些 信息 足够 它 人 侵 系统 的 。 因 此 ,应 将 这 些 系统 信息 隐藏 起 
来 ,只 显示 一 个 “login:” 提 示 符 。 

编辑 */etc/rc. d/rc. local” 文 件 ,在 下 面 各行 前 加 一 个 “#”, 把 输出 信息 的 命令 隐藏 
起 来 。 

# This will overwrite /etc/issue at every boot. So,make any changes you 


# want to make to /etc/issue here or you will lose them when you reboot 
#echo "" > /etc/issue 
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#echo " $R" >> /etc/issue 

#echo "Kernel $ (uname -r) on $a $ (uname -m)" >> /etc/issue 
# 

#cp -上 /etc/issue /etc/issue. net 

#echo >> /etc/issue 


其 次 删除 “/etc” 目 录 下 的 “issue. net” 和 “issue” 文 件 : 


# rm 一 上 /etc/issue 
# rm 一 上 /etc/issue.net 


习题 和 思考 题 


一 、 问 答题 
. 简 述 常用 的 访问 控制 措施 。 
.人 网 访问 控制 通常 包括 哪 几 方面 ? 
.举例 说 出 选择 口令 和 保护 口令 的 方法 。 
简 述 Windows NT 的 安全 技术 。 
简 述 Windows 2000 系统 新 增加 和 改进 的 安全 措施 和 技术 。 
. 简 述 Linux 系统 的 安全 性 。 
二 、 填 空 题 
1. 网 络 访问 控制 可 分 为 自主 访问 控制 和 两 大 类 。 
ea 访问 控制 指 由 系统 提供 用 户 有 权 对 自身 所 创建 的 访问 对 象 (文件 .数据 表 
等 ) 进 行 访问 ,并 可 将 对 这 些 对 象 的 访问 权 授 予 其 他 用 户 和 从 授予 权限 的 用 户 收 回 其 访问 
权限 。 


Dan 证 


3. 常用 的 身份 验证 方法 有 用 户 名 和 口令 验证 、 、Security ID 验证 和 
等 。 
4. Windows NT 四 种 域 模型 为 单 域 模型 、 ` 多 主 域 模型 和 模型 。 
5. Windows NT 的 安全 管理 主要 包括 \ 用 户 权 限 规则 、 和 域 管理 机 
制 等 。 
三 、 单 项 选择 题 


1. 网 络 访问 控制 可 分 为 自主 访问 控制 和 强制 访问 控制 两 大 类 。(1) 是 指 由 系统 对 用 
户 所 创建 的 对 象 进行 统一 的 限制 性 规定 。(2) 是 指 由 系统 提供 用 户 有 权 对 自身 所 创建 的 访 
问 对 象 进行 访问 ,并 可 将 对 这 些 对 象 的 访问 权 授予 其 他 用 户 和 从 授予 权限 的 用 户 收回 其 访 
问 权限 。 用 户 名 /口令 、 权 限 安全 、 属 性 安全 等 都 属于 (3) 。 


(1) A. 服务 器 安全 控制 B. 检测 和 锁定 控制 
C. 自主 访问 控制 D. 强制 访问 控制 
(2) A. 服务 器 安全 控制 B. 检测 和 锁定 控制 
C. 自主 访问 控制 D. 强制 访问 控制 
(3) A. 服务 器 安全 控制 B. 检测 和 锁定 控制 
C. 自主 访问 控制 D. 强制 访问 控制 


第 2 章 ”网 络 操作 系统 安全 


2. 根据 TCSEC 安全 准则 ,处 理 敏感 信息 所 需 最 低 安全 级 别 是 (1) ,保护 绝密 信息 的 最 
低级 别 是 (2) ,UNIX 和 Linux 系统 的 最 低 安全 级 别 是 (3) ,Windows 95/98 系统 的 安全 级 
别 是 (4) 。Windows NT/2000 系统 的 最 低 安全 级 别 是 (5) 。 


(DA.D B. Cl CC2 D. Bl 
(2) A. D B. Cl C. C2 D. Bl 
(3) A. D B. C1 C. C2 D. Bl 
(4) A. D B. C1 C. C2 D. Bl 
(5) A. D B. Cl C. C2 D. Bl 


计算 机 网 络 实体 安全 


本 章 要 点 

。 网 络 机 房 及 环境 安全 ; 

。 网 络 实体 的 自然 与 人 为 灾害 的 防护 ; 

。 系统 存储 介质 的 保护 ; 

。 路 由 器 的 安全 与 配置 ; 

。 交换 机 的 安全 与 配置 。 

计算 机 网 络 实体 是 网 络 系统 的 核心 , 它 既 是 对 数据 进行 加 工 处 理 的 中 心 , 也 是 信息 传输 
控制 的 中 心 。 计 算 机 网 络 实体 包括 网 络 系统 的 硬件 实体 .软件 实体 和 数据 资源 。 因 此 ,保证 
计算 机 网 络 实体 安全 ,就 是 保证 网 络 的 硬件 和 环境 、 存 储 介质 ` 软 件 和 数据 的 安全 。 


31 计算 机 网 络 机 房 设施 及 环境 安全 


计算 机 网 络 机 房 的 安全 特点 是 可 控 性 强 ,但 安全 受到 影响 时 损失 也 大 。 对 计算 机 网 络 
机 房 环境 的 保护 包括 机 房 的 防火 、 防 水 、 防 雷 及 接地 、 防 尘 和 防 静 电 、 防 盗 、 防 震 等 。 


3.1.1 机 房 的 安全 保护 


按 计算 机 系统 的 安全 要 求 , 计 算 机 机 房 的 安全 可 分 为 A 级 .B 级 和 C 级 三 个 基本 级 别 。 

。 对 人 A 级 机 房 的 安全 有 严格 的 要 求 ,有 完善 的 机 房 安 全 措施 ,有 最 高 的 安全 性 和 可 靠 
性 等 。A 级 机 房 对 场地 选择 .防火 、 防 电磁 泄露 .内 部 装修 、 供 配 电 系统 .空调 系统 、 
火灾 报警 和 消防 设施 、 防 水 、 防 静电 、 防 雷击 、 防 鼠 害 等 均 有 要 求 。 

。 对 BB 级 机 房 的 安全 有 和 较 严 格 的 要 求 ,有 较 完善 的 机 房 安全 措施 。 

。 对 C 级 机 房 的 安全 有 基本 的 要 求 .有 基本 的 机 房 安全 措施 。C 级 要 求 机 房 确保 系统 
一 般 运 行 时 的 最 低 安全 性 和 可 靠 性 。C 级 机 房 仅 对 防火 、 供 配 电 系 统 、 空 调 系 统 、 火 
灾 报 警 和 消防 设施 有 基本 的 要 求 。 

根据 机 房 安全 的 要 求 , 机 房 安全 可 按 某 一 级 执行 ,也 可 按 某 几 级 综合 执行 ,如 某 机 房 按 

照 安 全 要 求 可 选 电磁 辐射 防护 A 级 火灾 报警 及 消防 设施 C 级 等 。 
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机 房 场 地 的 安全 


选择 机 房 环境 及 场地 时 ,安全 方面 应 考虑 以 下 几 点 : 
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为 提高 计算 机 机 房 的 安全 可 靠 性 ,机 房 应 有 一 个 良好 的 环境 。 因 此 ,机 房 的 场地 选 
择 应 考虑 避 开 有 害 气体 来 源 以 及 存放 腐蚀 、 易 燃 、 易 爆 物 品 的 地 方 , 避 开 低洼 、 潮 湿 
的 地 方 , 避 开 强 振动 源 和 强 噪声 源 , 避 开 电 磁 干 扰 源 。 

外 部 容易 接近 的 进出 口 ( 如 风 道口 、 排 风口 窗户、 应 急 门 等 ) 应 有 栅栏 或 监控 措施 。 
机 房 周围 应 有 一 定 的 安全 保障 ,如 具有 多 层 屏 障 、 围 墙 \ 栅 栏 和 安全 入 口 等 ,以 防止 
非法 暴力 入 侵 。 

机 房 内 应 安装 监视 和 报警 装置 。 在 机 房 内 通风 孔 、 隐 项 地 方 安装 监视 器 和 报警 器 ， 
用 来 监视 和 检测 入 侵 者 ,预报 意外 灾害 等 。 

建筑 物 周围 要 有 足够 亮度 的 照明 设施 和 防止 非法 进入 的 设施 。 

机 房 供电 系统 应 将 动力 、 照 明 、 用 电 与 计算 机 系统 供电 线路 分 开 。 


机 房 装 饰 装修 


在 机 房 的 装饰 装修 方面 应 考虑 以 下 几 点 : 


3: 


机 房 装修 材料 应 符合 TJ16(《 建 筑 设计 防火 规范 》) 中 规定 的 难 燃 材料 或 非 燃 材料 ， 
还 应 具有 防潮 吸音 、 不 起 尘 、 抗 静电 、 防 辐射 等 功能 。 

机 房 应 安装 活动 地 板 ,活动 地 板 应 由 难 燃 材料 或 非 燃 材料 制 成 ,应 有 稳定 的 抗 静 电 
性 能 和 承载 能 力 , 同 时 耐 油 、 耐 腐蚀 、 柔 光 、 不 起 尘 等 。 安 装 活动 地 板 时 ,应 采取 相应 
措施 ,防止 地 板 支 脚 倾 斜 、 移 位 、 横 梁 坠 落 等 。 

活动 地 板 提 供 的 各 种 规格 的 电线 、 电 缆 进出 口 应 做 得 光滑 ,以免 损伤 电线 .电缆 。 
活动 地 板 下 的 建筑 地 面 应 平整 .光洁 、 防 潮 、 防 尘 。 

机 房 应 封闭 门窗 或 采用 双 层 密封 玻璃 等 防 音 、 防 尘 措施 。 

安装 在 活动 地 板 下 及 吊顶 上 的 送 、 回 风口 应 采用 难 燃 材料 或 非 燃 材料 。 新 风 系统 应 
安装 空气 过 滤器 ,新 风 设备 主体 部 分 应 采用 难 燃 材料 或 非 燃 材料 。 


机 房 的 出 入 管理 


可 制定 完善 的 机 房 安 全 出 入 管理 制度 ,通过 特殊 标志 口令 、 指 纹 , 通 行 证 等 标识 对 进入 
机 房 的 人 员 进行 识别 和 验证 ,以 及 对 机 房 的 关键 通道 应 加 锁 或 设置 警卫 等 ,防止 非法 人 员 进 
入 机 房 。 

外 来 人 员 ( 如 参观 者 ) 要 进入 机 房 ,应 先 登记 申请 进入 机 房 的 时 间 和 目的 ,经 有 关 部 门 批 
准 后 由 警卫 领 和 或 由 相关 人 员 陪 同 。 进 入 机 房 时 应 佩戴 临时 标志 , 且 要 限制 一 次 性 进入 机 
房 的 人 员 数 量 。 


4. 机 房 的 内 部 管理 与 维护 
在 机 房 的 内 部 管理 与 维护 方面 应 做 到 以 下 几 点 : 


机 房 的 空气 要 经 过 净化 处 理 ,要 经 常 排除 废气 , 换 和 新风。 
工作 人 员 要 经 常 保护 机 房 清 洁 卫 生 。 
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。 工作 人 员 进 入 机 房 要 穿 工 作 服 ,佩戴 标志 或 标识 牌 。 
。 机 房 要 制定 一 整套 可 行 的 管理 制度 和 操作 人 员 守 则 ,并 严格 监督 执行 。 


5. 机 房 的 环境 设备 监控 


随 着 社会 信息 化 程度 的 不 断 提高 ,机房 计 算 机 系统 的 数量 与 日 俱 增 ,其 环境 设备 也 日 益 
增多 ,机 房 环境 设备 必须 时 时 刻 刻 为 计算 机 系统 提供 正常 的 运行 环境 。 因 此 ,对 机 房 设备 及 

机 房 的 环境 设备 监控 系统 主要 是 对 机 房 设备 (如 供 配 电 系 统 、UPS 电源 、 防 雷 器 、 空 调 
系统 、 消 防 系 统 、 保 安 系 统 等 ) 的 运行 状态 、 温 度 、 湿 度 、 洁 净 度 ,供电 的 电压 .电流 、 频 率 , 配 电 
系统 的 开关 状态 `. 测 漏 系统 等 进行 实时 监控 并 记录 历史 数据 ,实现 对 机 房 遥 测 、 遥 信 、 遥 控 、 
遥 调 的 管理 功能 ,为 机 房 高 效 的 管理 和 安全 运行 提供 有 力 的 保证 。 


3.12 机 房 的 温度 .湿度 和 洁净 度 


为 保证 计算 机 网 络 系统 的 正常 运行 ,对 机 房 工 作 环境 中 的 温度 .湿度 和 洁净 度 都 要 有 明 
确 要 求 。 为 了 使 机 房 的 这 “三 度 ” 达 到 要 求 , 机 房 应 该 配备 空调 系统 ,去 /加 湿 机 、 除 尘 器 等 设 
备 。 甚 至 特殊 场合 要 配备 比 公 用 空调 系统 在 加 湿 、 除 尘 等 方面 有 更 高 要 求 的 专用 空调 系统 。 


1. 温度 


计算 机 系统 内 部 有 许多 电子 元 器 件 ,它们 不 仅 散发 大 量 的 热 , 也 对 环境 温度 很 敏感 。 温 
度 过 高 不 仅 会 使 集成 电路 和 半导体 器 件 性 能 不 稳定 ,而且 也 易 使 存储 信息 的 磁 介 质 损坏 ,使 
信息 丢失 ,温度 高 到 一 定 程 度 时 将 使 磁 介 质 失 去 磁性 ; 而 温度 过 低 时 ,会 导致 硬盘 无 法 局 
动 , 设 备 表面 容易 出 现 水 珠 凝 聚 和 结 露 现象 ,这 种 潮湿 现象 将 导致 设备 绝缘 不 好 ,机 器 锈蚀 。 

统计 表明 , 当 温 度 超过 规定 范围 时 ,每 升 高 10C ,设备 的 可 靠 性 能 就 下 降 25%。 一 般 ， 
机 房 的 温度 应 控制 在 10 一 35YC ,更 具体 一 些 , 温 度 要 求 在 20 士 2C ,变化 率 为 2C/ 小 时 。 


2. 湿度 


湿度 也 是 影响 计算 机 网 络 系统 正常 运行 的 重要 因素 。 湿 度 过 高 会 使 电路 和 元 器 件 的 绝 
缘 能 力 降低 ,影响 磁头 的 高 速 运转 ,降低 纸 介质 强度 ,设备 的 金属 部 分 生 锈 ; 湿度 还 会 使 灰 
侍 的 导电 性 能 增强 ,电子 器 件 失 效 的 可 能 性 增 大 ; 湿度 过 低 将 导致 系统 设备 中 的 某 些 器 件 
龟 裂 ,印刷 电路 板 变形 ,静电 感应 增加 ,工作 人 员 的 服装 、 活 动 地 板 和 设备 机 壳 表 面 等 处 不 同 
程度 地 带 有 静电 荷 , 易 使 机 器 内 存储 的 信息 丢失 或 异常 ,严重 时 还 会 导致 芯片 损坏 。 

一 般 情况 下 ,机 房 相 对 湿度 应 为 30% 一 80%, 更 具体 一 些 ,相对 湿度 为 40% 一 60%, 变 
化 率 为 25%/ 小 时 。 

总 之 ,机 房 的 温度 和 湿度 过 高 .过 低 或 变化 过 快 ,都 将 对 设备 的 元 器 件 、 绝 缘 件 、 金 属 构 
件 以 及 信息 介质 产生 不 良 影响 ,其 结果 不 仅 影响 系统 工作 的 可 靠 性 ,还 会 影响 工作 人 员 的 身 
心 健康 。 温 度 控 制 和 湿度 控制 最 好 都 与 空调 联系 在 一 起 ,由 空调 集中 控制 。 机 房 内 应 安装 
温度 ,湿度 显示 仪 , 随 时 观察 和 监测 温 湿度。 
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3. 洁净 度 


灰尘 会 造成 机 器 接 插件 的 接触 不 良 、 发 热 元 器 件 的 散热 效率 降低 .电子 元 件 的 绝缘 性 能 
下 降 等 危害 。 灰 尘 还 会 增加 机 械 磨损 ,尤其 对 舞动 器 和 盘 片 ,灰尘 不 仅 会 使 磁盘 数据 的 读 写 
出 现 错误 ,而 且 可 能 划 伤 盘 片 ,甚至 导致 磁头 损坏 。 因 此 ,计算 机 机 房 必 须 有 防 尘 、 除 竺 设备 
和 措施 ,保持 机 房 内 的 清洁 卫生 ,以 保证 设备 的 正常 工作 。 

一 般 机 房 的 洁净 度 要 求 灰尘 颗粒 直径 小 于 0. 5pm, 平 均 每 升 空气 含 尘 量 少 于 1 万 粒 。 


3.13 机 房 的 空调 系统 与 电源 保护 


计算 机 网 络 机 房 应 采用 专用 空调 设备 , 若 与 其 他 系统 共用 时 ,应 保证 空调 效果 并 采取 防 
火 措施 。 

应 尽量 采用 风 冷 式 空 调 设备 ,空调 设备 的 室外 部 分 应 安装 在 安全 及 便于 维修 的 地 方 。 
空调 设备 中 安装 的 电 加 热 器 和 电 加 湿 器 应 有 防火 护 衬 ,并 尽 可 能 使 电 加 热 器 远离 用 易 燃 材 
料 制 成 的 空气 过 滤器 。 空 调 设备 的 管道 ,消声器 、 防 火 阀 接头 、 衬 垫 以 及 管道 和 配 管用 的 隔 
热 材料 应 采用 难 燃 材料 或 非 燃 材料 。 

采用 水 冷 式 空调 设备 时 ,应 设置 漏水 报警 装置 ,并 设置 防水 小 堤 ,注意 冷却 塔 \ 泵 水箱 
等 供水 设备 的 防冻 、 防 火 措施 。 

电源 是 计算 机 网 络 系统 的 命脉 ,电源 系统 的 稳定 可 靠 是 网 络 系统 正常 运行 的 先决 条 件 。 
电源 系统 电压 的 波动 , 浪 涌 电 流 或 突然 断 电 等 意外 事件 的 发 生 不 仅 可 能 使 系统 不 能 正常 工 
作 ,还 可 能 造成 系统 存储 信息 的 丢失 、 存 储 设备 损坏 等 。 因 此 ,电源 系统 的 安全 是 计算 机 网 
络 系统 安全 的 一 个 重要 组 成 部 分 。 

在 国标 GB2887 一 2000 和 GB9361 一 88 中 对 机 房 的 安全 供电 做 了 明确 要 求 。 国 标 
GB2887 一 2000 将 供电 方式 分 为 三 类 : 

。 一 类 供电 : 需 建立 不 间断 供电 系统 。 

。 二 类 供电 : 需要 建立 带 备用 的 供电 系统 。 

。 三 类 供电 : 按 一 般 用 户 供电 要 求 考虑 。 

电源 系统 安全 不 仅 包括 外 部 供电 线路 的 安全 ,更 重要 的 是 电源 设备 的 安全 。 计 算 机 网 
络 机 房 可 采用 以 下 措施 保证 电源 的 安全 工作 。 


1. 隔离 和 自动 稳 压 


把 建筑 物 外 电网 电压 输入 到 由 隔离 变压器 、 稳 压 器 及 滤波 器 组 成 的 设备 上 ,再 把 滤波 器 
输出 电压 提供 给 各 设备 。 隔 离 变压器 和 滤波 器 对 电网 的 瞬 变 干扰 具有 隔离 和 衰减 作用 。 常 
用 的 稳 压 器 是 自动 感应 稳 压 器 .对 电网 电压 的 波动 具有 调节 作用 。 


2. 稳 压 稳 频 器 


稳 压 稳 频 器 是 采用 电子 电路 来 实现 使 电网 输入 的 电压 和 频率 稳定 的 装置 ,其 输出 供给 
计算 机 设备 。 稳 压 稳 频 器 通常 由 整流 器 、 道 变 器 、 充 电器 .蓄电池 组 组 成 。 蓄 电池 可 在 电网 
停止 供电 时 , 短 时 间 内 起 供电 作用 ; 逆 变 器 把 直流 电 再 转变 为 交流 电 ,因而 它 产生 的 交流 电 
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受 电网 影响 是 很 小 的 ; 充电 器 对 蓄电池 充电 ,使 荔 电 池 保 持 在 一 个 固定 的 直流 电压 上 。 
3. 不 间断 电源 (UPS) 


计算 机 机 房 负 载 分 为 主 设备 负载 和 辅助 设备 负载 。 主 设备 负载 指 计算 机 及 网 络 系 统 、 
计算 机 外 部 设备 及 机 房 监 控 系 统 , 这 部 分 供 配 电 系 统称 为 “设备 供 配 电 系 统 ”, 其 供电 质量 要 
求 高 。 应 采用 不 间断 电源 (CUPS) 供电 来 保证 主 设备 负载 供电 的 稳定 性 和 可 靠 性 。 

UPS 是 由 大 量 的 蓄电池 组 组 成 的 ,类 似 于 稳 压 稳 频 器 。 系 统 交 流 电网 一 旦 停止 供电 ， 
立即 启动 UPS, 即 可 为 系统 继续 供电 。 根 据 UPS 的 容量 大 小 ,可 为 系统 提供 连续 供电 15 
分 钟 、30 分 钟 甚至 更 长 时 间 。 在 UPS 供电 期 间 , 还 可 启动 备用 发 电机 工作 ,以 保证 更 长 时 
间 的 不 间断 供电 。UPS 还 有 滤 除 电压 的 瞬 变 和 稳 压 作 用 。 


3.14 机 房 的 防火 与 防水 


1 机房 的 防火 


机 房 发 生火 灾 将 会 使 机 房 建筑 .计算 机 、 通 信 设 备 及 软件 和 数据 备份 等 毁 于 一 旦 ,给 国 
家 和 人 民 财 产 造成 巨大 损失 。 

在 人 们 视觉 不 及 的 顶棚 之 上 、 地 板 之 下 及 电源 开关 、 拖 线 板 、 插 座 等 处 往往 是 火灾 的 发 
源 地 。 引 起 火灾 的 原因 主要 有 : 电器 设备 或 电线 起 火 ,空调 电 加 热 器 起 火 , 人 为 事故 起 火 或 
其 他 建筑 物 起 火 瑞 及 机 房 等 。 

火灾 的 防范 要 以 预防 为 主 、 防 消 结合 。 平 时 加 强 防范 ,消除 一 切 火 灾 隐 患 ; 一 旦 失火 ， 
要 积极 扑救 ; 灾后 做 好 弥补 ,恢复 工作 ,减少 损失 。 

机 房 防火 的 主要 措施 有 建筑 物 防 火 、 设 置 报警 系统 及 灭火 装置 和 加 强 防火 安全 管理 。 

1) 建筑 物 防 火 
机 房 应 选 址 在 远离 易 燃 、 易 爆 和 人 危险 物品 存储 地 处 。 
对 机 房 及 附属 建筑 物 ( 包 括 主机 房 、 电 源 室 、 终 端 室 、 空 调 室 \ 介 质 存放 室 等 处 ) 采 取 
消防 措施 。 
采用 难 燃 或 非 燃 建筑 材料 进行 机 房 装 饰 。 
选用 绝缘 性 能 好 或 燃点 高 的 材料 作 电 气 设备 、 导 线 或 开关 的 绝缘 材料 。 
设置 火灾 报警 系统 及 灭火 装置 
为 机 房 配 置 消防 器 材 , 并 置 于 有 明显 标志 处 。 机 房 应 配置 适用 的 灭火 器 材 , 所 在 楼 
层 应 有 防火 栓 和 必要 的 灭火 器 材 和 工具 (如 灭火 器 、 油 压 千 斤 项 及 其 他 辅助 设备 )， 
这 些 设备 应 有 明显 的 标记 ,上 且 需 定期 检查 。 
设置 火灾 报警 系统 和 紧急 出 口 。 火 灾 报 警 系统 要 有 完整 的 声 光 报警 .24 小 时 不 间 
断 监 视 能 力 ,以便 在 火灾 初期 就 能 被 检测 到 并 及 时 发 出 警报 。 火 灾 报 警 器 可 采用 音 
响 或 灯光 报警 ,一般 安放 在 值班 室 或 人 员 集 中 的 地 方 ,以 便 工作 人 员 及 时 发 现 并 向 
消防 部 门 报告 ,组织 灭火 和 朴 散 人 员 和 财产 等 。 紧 急 出 口 ( 安 全 通道 ) 设 置 在 便于 人 
员 和 重要 资源 的 撤离 处 。 
在 机 房 内 、 基 本 工作 房间 、 活 动 地 板 下 .吊顶 上 主要 空调 管道 中 、 易 燃 物 附近 等 部 位 
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应 设置 烟 感 , 温 感 探测 器 。 
3) 加 强 防火 安全 管理 
。 对 工作 人 员 进 行 防火 安全 教育 和 防火 器 材 使 用 教育 。 
。 明确 防火 安全 责任 制 。 
。 磁 盘 、 磁 带 和 纸张 等 易 燃 品 设置 专门 箱 柜 存 放 。 


2. 机 房 的 防水 


机 房 一 旦 受到 水 浸 ,将 使 电缆 和 电气 设备 的 绝缘 性 能 大 大 降低 ,甚至 不 能 工作 。 因 此 ， 
机 房 应 有 相应 的 预防 、 隔 离 和 排水 措施 。 

一 般 , 可 采取 如 下 防水 措施 : 
机 房 的 地 面 和 墙壁 使 用 防 渗水 和 防潮 材料 处 理 。 
在 机 房 四 周 应 筑 有 水 泥 墙 脚 ,用 来 铺设 架空 地 板 , 且 可 起 防水 围墙 作用 。 
对 机 房屋 项 要 进行 防水 处 理 , 对 于 平 顶 屋 要 有 一 定 的 坡度 ,以 利 排水 ; 若 机 房 设置 于 楼 
房 中 间 层 , 则 要 对 上 一 层 楼 的 水 源 注意 保护 ,进行 防 漏 处 理 , 防 止 积 水 渗 入 机 房 。 
地 板 下 区 域 要 有 合适 的 排水 设施 ,机 房 内 或 附近 及 楼 上 房间 一 般 不 应 有 用 水 设备 ， 
地 下 室 机 房 必 须 备 有 水 泵 或 带 有 检验 阀 的 排水 管 及 水 淹 报 警 装 置 。 
在 机 房 内 、 机 房 附 近 房间 或 机 房 的 楼 上 ,不 应 有 蓄 水 设备 ; 若 机 房 采 用 水 冷 式 制冷 
或 房间 空调 机 需要 水 源 , 水 管 尽 量 安装 在 比较 显露 位 置 ,并 注意 接 缝 处 漏水 。 有 暖 
气 装置 的 机 房 , 沿 机 房 地 面 周围 应 设 排水 沟 ,注意 对 暖气 管道 定期 检查 和 维修 。 


3.1.5 机 房 的 电磁 干扰 防护 


计算 机 机 房 周 围 电磁 场 的 干扰 会 影响 系统 设备 的 正常 工作 ,而 计算 机 和 其 他 电气 设备 
的 组 成 元 器 件 都 是 电阻 、 电 容 、 集 成 电路 和 各 种 磁性 材料 器 件 等 ,容易 受 电磁 干扰 的 影响 。 
电磁 干扰 会 增加 电路 的 噪声 ,使 机 器 产生 误 动作 ,严重 时 将 导致 系统 不 能 正常 工作 。 
电磁 干扰 主要 来 自 计 算 机 系统 外 部 和 自身 。 系 统 外 部 的 电磁 干扰 主要 来 自 无 线 电 广播 
天 线 、 雷 达 天 线 工业 电气 设备 、 高 压 电 力 线 和 变 电 设 备 ,以 及 大 自然 中 的 雷击 和 闪电 等 ; 计 
算 机 系统 本 身 的 各 种 电子 组 件 和 导线 通过 电流 时 ,会 产生 不 同 程度 的 电磁 干扰 ,这 种 影响 可 
在 机 器 制作 时 采用 相应 工艺 降低 和 解决 。 
通常 可 采取 以 下 措施 来 防止 和 减少 电磁 干扰 的 影响 : 
。 机房 选择 在 远离 电磁 干扰 源 的 地 方 ,如 离 无 线 电 广播 发 射 塔 、 雷 达 站 工业 电气 设 
备 、 高 压 电力 线 和 变电站 等 设施 较 远 的 地 方 。 

。 建造 机 房 时 采用 接地 和 屏蔽 措施 。 良 好 的 接地 可 防止 外 界 电 磁场 干扰 和 设备 间 寄 
生 电 容 的 耦合 干扰 ; 良好 的 屏蔽 ( 电 屏 项 、 磁 屏蔽 和 电磁 屏蔽 ) 可 减少 外 界 的 电磁 
干扰 。 

机 房 屏蔽 主要 防止 各 种 电磁 干扰 对 机 房 设备 和 信号 的 损伤 ,常见 的 有 两 种 类 型 , 即 金属 
网 状 屏 项 和 金属 板式 屏 项 。 依 据 机 房 对 屏蔽 效果 的 要 求 大 小 不 同 , 屏 蔽 的 频率 频段 的 高 低 
不 同 , 对 屏 项 系统 的 材质 和 施工 方法 进行 选择 ,各 项 指标 要 求 应 严格 按照 国家 规范 标准 
执行 。 
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国家 规定 机 房 内 无 线 电 干扰 场 强 在 频率 范围 为 0.15 一 500MHz 时 不 大 于 126 分 贝 , 磁 
场 干扰 场 强 不 大 于 800A/m。 


3.16 机 房 的 雷电 保护 与 接地 系统 


1 机房 的 接地 系统 


为 保证 网 络 系统 可 靠 运 行 ,防止 寄生 电容 的 耦合 干扰 ,保护 设备 及 人 身 安全 ,机 房 必须 
提供 良好 的 接地 系统 。 机 房 接地 系统 是 涉及 多 方面 的 综合 性 信息 处 理工 程 , 是 机 房 建 设 中 
的 一 项 重要 内 容 。 接 地 系统 是 否 良 好 是 衡量 一 个 机 房 建设 质量 的 关键 性 问题 之 一 。 

接地 就 是 要 使 计算 机 网 络 系统 中 各 处 的 电位 均 以 大 地 电位 为 基准 ,为 系统 各 电子 电路 
设备 提供 一 个 稳定 的 0V 参考 电位 ,从 而 达到 保证 网 络 系统 设备 安全 和 工作 人 员 安 全 的 目 
的 。 同 时 ,接地 也 是 防止 电磁 信息 辐射 的 有 效 措施 。 

接地 是 以 接地 电流 易于 流动 为 目的 。 接 地 电阻 越 小 ,接地 电流 越 易于 流动 ; 同时 从 减 
少 成 为 电 噪声 原因 的 电位 变动 来 说 ,也 是 接地 电阻 越 小 越 好 。 机 房 接 地 宜 采 用 综合 接地 方 
案 ,综合 接地 电阻 应 小 于 19。 

在 机 房 接 地 时 应 注意 两 点 : 信号 系统 和 电源 系统 .高 压 系统 和 低压 系统 不 应 使 用 共 地 
回路 ; 灵敏 电路 的 接地 应 各 自 隔 离 或 屏蔽 ,以免 因 大 地 回流 和 静电 感应 而 产生 干扰 。 

根据 国家 标准 ,大 型 计算 机 机 房 一 般 具 有 四 种 接地 方式 : 交流 工作 地 ,直流 工作 地 、 安 
全 保护 地 和 防 雷 保护 地 。 

(1) 交流 工作 地 

许多 计算 机 设备 都 是 由 交流 供电 的 ,如 电源 、1/O 外 部 设备 .空调 设备 等 ,所 以 必须 将 机 
房 中 交流 电源 的 中 性 线 作 为 工作 地 处 理 。 一 般 是 把 每 个 设备 的 中 性 点 用 绝缘 导线 连 到 配 电 
柜 的 中 线 上 ,或 将 中 性 线 连接 在 一 起 ,再 用 接地 母线 将 其 接地 。 

(2) 直流 工作 地 

直流 接地 也 叫 逻 辑 接 地 ,是 计算 机 系统 中 一 种 重要 的 接地 形式 。 为 了 使 系统 正常 工作 ， 
机 器 的 所 有 电路 必须 工作 在 一 个 稳定 的 基础 电压 上 。 通 过 接地 可 以 使 干扰 减弱 直至 消除 ， 
保证 数据 处 理 的 正确 。 系 统 中 的 每 个 设备 都 有 这 样 的 直流 地 ,可 以 把 这 些 直 流 地 连接 在 一 
起 , 接 在 一 个 铜 条 上 ,或 把 每 个 直流 地 焊接 在 铜 线 上 .作为 公共 直流 地 线 , 再 将 公共 直流 地 线 
埋 在 建筑 物 附近 的 地 下 。 这 种 接地 可 使 设备 外 壳 上 的 大 量 静 电荷 沿 公共 地 线 泄 放 。 

(3) 安全 保护 地 

某 些 设备 的 外 壳 与 电路 部 分 是 绝缘 的 ,如 果 这 种 绝缘 性 能 下 降 或 因 绝缘 损坏 而 失效 , 则 
机 壳 的 对 地 电位 将 升 高 ,对 工作 人 员 的 安全 造成 威胁 。 将 设备 的 金属 外 壳 接 地 ,使 机 壳 对 地 
电位 为 零 , 使 外 过 上 积聚 的 电荷 迅速 排放 ,使 故障 电流 基本 上 由 该 低 阻 通路 流 经 大 地 ,而 不 
至 形成 危险 电压 ,这 就 是 安全 保护 地 。 

我 国 规定 ,机房 内 保护 地 线 接地 电阻 应 三 49。 保 护 地 在 接头 上 应 有 专门 的 芯 线 ,由 电 
费 连 接 到 设备 外 壳 ,将 插座 上 对 应 的 芯 线 引出 与 大 地 相连 。 

安全 保护 地 应 连接 可 靠 ,一 般 不 用 焊接 而 采用 机 械 压 紧 连 接 。 地 线 导 线 应 足够 粗 ,应 为 
4 号 铜 线 或 金属 带 线 。 安 全 保护 地 在 机 房 内 可 单独 设置 ,用 导线 将 各 设备 外 壳 连 成 一 点 , 然 
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后 由 专线 接地 。 这 样 , 安 全 保护 地 就 可 防止 由 于 线路 绝缘 损坏 可 能 使 设备 外 壳 带 有 危险 的 
相 电压 而 对 人 体 造成 伤害 。 

(4) 防 雷 保护 地 

雷电 具有 很 大 的 能 量 , 雷 击 产生 的 瞬间 电压 可 高 达 10MV 以 上 ,因此 ,单独 建设 的 机 房 
或 机 房 所 在 的 建筑 物 必 须 设置 专门 的 防 雷 保护 地 ,以 防 雷 击 产 生 的 巨大 能 量 和 高 压 对 设备 
和 人 身 造成 危害 。 若 机 房 设 在 装 有 防 雷 设施 的 建筑 物 内 , 则 可 不 必 单 独 设 立 防 雷 保护 地 。 

机 房 建筑 物 在 处 理 防 雷 保护 地 时 ,应 严格 按照 防 雷 措施 规定 。 


2. 机 房 的 雷电 保护 


据 资 料 显示 ,每 年 全 球 因 雷 击 至 少 造成 100 亿美 元 的 电子 设备 损失 。 雷 电 不 仅 破坏 系 
统 设备 ,还 可 造成 通信 中 断 、 系 统 瘫痪 ,其 间接 损失 不 可 估量 。 

随 着 科学 技术 的 发 展 ,电子 信息 设备 的 广泛 应 用 ,对 雷电 保护 技术 提出 了 更 高 .更 新 的 
要 求 , 传 统 的 避雷 针 已 不 能 完全 满足 微 电 子 设 备 的 要 求 , 且 还 会 增加 雷击 的 概率 ,产生 感应 
雷 。 感 应 雷 不 仅 损 伤 电子 设备 ,还 会 引起 易 燃 易 爆 品 起 爆 。 

对 雷电 的 防护 通常 可 考虑 根据 电气 、 微 电子 设备 的 不 同 功能 及 不 同 受 保护 程度 和 所 属 
保护 层 进行 分 类 保护 ; 根据 雷电 和 操作 瞬间 过 压 危 害 从 电源 线 到 数据 通信 线 进行 分 层 保 
护 。 具 体 采 用 外 部 无 源 保护 和 内 部 保护 。 

1) 外 部 无 源 保护 

外 部 无 源 保护 主要 是 加 装 避 雷 针 (网 、 线 、 带 ) 和 接地 装置 (地 线 、 地 网 )。 当 和 雷 云 放电 接 
近 地 面 时 ,使 地 面 电场 发 生 畸 变 , 在 避雷 针 ( 线 ) 顶 部 形成 局 部 电场 强度 畸变 ,以 影响 雷电 放 
电 的 方向 ,引导 雷电 向 避雷 针 ( 线 ?放电 ,再 通过 接地 引 下 线 和 接地 装置 将 雷电 流 引 入 大 地 ， 
从 而 使 被 保护 物 免 遭 雷 击 。 

2) 内 部 保护 

内 部 保护 又 分 为 电源 部 分 保护 、 信 和 号 部 分 保护 和 内 部 接地 处 理 。 

(1) 电源 部 分 保护 

电源 部 分 保护 是 指 对 380V 及 以 下 的 低压 线路 的 过 压 保 护 。 这 可 以 采取 在 高 压 变 压 器 
到 楼 宇 总 配 电 盘 间 加 装 避 雷 器 作 一 级 保护 ; 在 楼 宇 总 配 电 盘 到 楼 层 配 电 箱 间 加 装 避 雷 器 作 
二 级 保护 ; 在 所 有 重要 、 精 密 的 设备 及 UPS 前 端 加 装 避 雷 器 作 三 级 保护 。 这 些 保护 的 目的 
就 是 利用 技术 将 雷电 过 电压 能 量 分 流 泄 人 大 地 。 

(2) 信号 部 分 保护 

信号 部 分 保护 又 可 分 为 粗 保 护 和 精细 保护 。 粗 保护 可 根据 所 属 保护 区 的 级 别 来 确定 
精细 保护 可 根据 信号 的 密级 和 电子 设备 的 敏感 程度 来 确定 , 它 主 要 考虑 卫星 接收 系统 、 网 络 
专线 系统 .电话 系统 ,监控 系统 等 环境 。 可 采取 在 所 有 信息 系统 进入 楼 宇 的 电缆 内 芯 线 端 ， 
应 对 地 加 装 避雷 器 ,将 电缆 中 的 空 线 对 应 接地 ,并 采取 屏蔽 接地 等 具体 措施 ,要 注意 系统 设 
备 的 在 线 电 压 、 传 输 速率 .接口 类 型 等 ,以 确保 系统 正常 工作 。 

(3) 内 部 接地 处 理 

在 计算 机 机 房 建设 中 要 有 良好 的 防 雷 接地 系统 ,这 样 就 能 通过 接地 系统 将 雷电 流 汇 入 
大 地 ,保护 设备 和 操作 人 员 的 人 身 安全 。 男 外 , 防 干扰 的 屏蔽 问题 和 防 静 电 的 问题 可 通过 建 
立 良好 的 接地 系统 来 解决 。 
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3.17 机 房 的 静电 防护 


静电 是 机 房 发 生 最 频繁 ,最 难 消除 的 危害 之 一 。 它 不 仅 会 使 计算 机 运行 出 现 随 机 故障 ， 
而 且 会 导致 菜 些 元 器 件 (如 CMOS 电路 .MOS 电路 和 双 极 性 电路 等 ) 被 击 穿 或 毁坏 ,此 外 还 
会 影响 操作 人 员 和 维护 人 员 的 工作 和 身心 健康 。 


1. 静电 产生 的 特点 及 危害 


(1) 静电 的 故障 特点 

。 静电 故障 随 湿 度 而 变化 (主要 发 生 在 冬 春 干燥 季节 )。 

。 静电 故障 的 偶发 性 强 ( 多 为 随机 故障 ,难以 找 出 诱发 原因 )。 

。 静电 故障 与 机 房 地 板 ,使 用 的 家 具 和 工作 人 员 服 装 有 关 。 

。 静电 故障 发 生 率 与 人 体 或 其 他 绝缘 体 和 计算 机 设备 相 接 触 有 关 。 

(2) 静电 的 危害 

静电 电流 流 经 机 壳 时 ,会 对 信号 线 和 电源 线 产 生 感应 噪声 ; 静电 产生 的 高 压 , 会 引起 机 
壳 地 、 安 全 地 电位 变化 ,从 而 引起 逻辑 地 产生 电位 变动 ; 静电 放电 时 会 产生 辐射 噪声 。 

静电 对 计算 机 设备 的 影响 ,主要 体现 在 半导体 器 件 上 。 半 导体 器 件 的 高 密度 和 高 增益 ， 
促进 了 计算 机 的 高 速度 .高 密度 ,大 容量 和 小 型 化 ,因此 也 导致 了 半导体 器 件 本 身 对 静电 的 
反应 越 来 越 灵敏 。 静 电 对 计算 机 的 影响 主要 表现 为 两 点 : 一 是 可 能 造成 元 器 件 ( 中 大 规模 
集成 电路 、 双 极 性 电路 ) 损 坏 ; 二 是 可 引起 计算 机 误 操作 或 运算 错误 。 

静电 对 计算 机 外 设 也 有 明显 的 影响 。 比 如 ,阴极 射线 显示 器 在 受到 静电 影响 时 将 使 图 
像 认 乱 ,模糊 不 清 ; 还 可 造成 Modem、 网 卡 、Fax 卡 等 工作 失常 ,打印 机 走 纸 不 顺 等 。 


2. 静电 的 防护 


静电 问题 很 难 查 找 , 有 时 会 被 认为 是 软件 故障 。 对 静电 问题 的 防护 ,不 仅 涉及 计算 机 的 
系统 设计 ,还 与 计算 机 机 房 的 结构 和 环境 条 件 有 很 大 关系 。 

通常 采取 的 防 静 电 措施 有 以 下 几 种 : 

。 机 房 建设 时 ,在 机 房 地 面 铺设 防 静 电 地 板 。 

。 工作 人 员 在 工作 时 穿戴 防 静电 衣服 和 土 帽 。 

。 工作 人 员 在 拆 装 和 检修 机 器 时 应 在 手腕 上 戴 防 静电 手 环 (该 手 环 可 通过 柔软 的 接地 

导线 放电 ) 。 
。 保持 机 房 内 相应 的 温度 和 湿度 等 。 


3.1.8 ”机房 的 电磁 辐射 保护 


1. 电 磁 辐 射 的 形成 与 危害 


计算 机 及 其 附属 电子 设备 在 工作 时 能 通过 地 线 .电源 线 、 信 号 线 等 将 所 处 理 的 信息 以 电 
磁 波 或 谐 波形 式 放射 出 去 ,形成 电磁 辐射 。 
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电磁 辐射 会 产生 两 种 不 利 因素 : 一 是 由 电子 设备 辐射 出 的 电磁 波 通过 电路 耦合 到 其 他 
电子 设备 中 形成 电磁 波 干扰 ,或 通过 连接 的 导线 .电源 线 、 信 号 线 等 耦合 而 引起 相互 间 的 干 
扰 , 当 这 些 电磁 干扰 达到 一 定 程度 时 ,就 会 影响 设备 的 正常 工作 ; 二 是 这 些 辐射 出 的 电磁 波 
本 身 携带 有 用 信号 ,容易 引起 信息 泄露 ,如 这 些 辐射 信号 被 接收 ,再 经 过 提取 、 处 理 等 过 程 即 
可 恢复 出 原 信息 ,造成 信息 失 密 。 攻 击 者 若 利 用 截取 辐射 信息 收集 情报 , 比 用 其 他 方法 更 及 
时 ,方便 准确 和 隐蔽 ,因此 ,必须 对 计算 机 系统 的 电磁 辐射 采取 有 效 的 保护 措施 。 


2. 电磁 辐射 的 保护 措施 


为 了 防止 电磁 辐射 引起 有 用 信息 的 扩散 ,通常 是 在 物理 上 采取 一 定 的 防护 措施 以 减少 
或 干扰 辐射 到 空间 的 电磁 信号 。 

目前 ,电磁 辐射 的 防护 措施 主要 有 两 类 : 一 是 对 传导 发 射 的 防护 ,主要 采取 对 电源 线 和 
信号 线 加 装 性 能 良好 的 滤波 器 , 减 小 传输 阻抗 和 导线 间 的 交叉 耦合 来 实现 ; 二 是 对 辐射 的 
保护 ,主要 是 采用 各 种 电磁 屏蔽 措施 (如 对 设备 的 金属 屏蔽 和 各 种 接 插件 的 屏蔽 ,及 对 机 房 
的 水 管 .暖气 管 和 金属 门窗 的 屏蔽 和 隔离 ) 和 对 干扰 的 防护 措施 (如 在 工作 的 同时 利用 干扰 
装置 产生 一 种 与 计算 机 系统 辐射 相关 的 伪 噪 声 辐射 出 去 以 掩盖 系统 的 工作 频率 和 信息 
特征 ) 。 

具体 对 电磁 辐射 的 保护 可 按 以 下 层次 进行 : 

。 设备 保护 。 尽 量 使 用 低 辐射 力 的 终端 设备 ,这 样 可 大 大 减少 电磁 信号 的 辐射 距离 。 

。 建筑 保护 。 在 机 房 建筑 施工 和 装饰 时 ,采取 相应 的 屏蔽 措施 。 但 因 建 筑 屏 蔽 成 本 较 
高 ,所 以 ,屏蔽 的 程度 应 视 具体 使 用 要 求 而 定 。 
区 域 保护 。 电 磁 辐射 的 强度 与 辐射 距离 相关 ,根据 辐射 强度 在 机 房 周 围 划 定 辐 射 保 
护 区 域 ,将 机 房 设 置 在 辐射 保护 区 域内 。 
通信 线路 保护 。 计 算 机 网 络 系统 中 各 种 通信 线路 上 都 能 产生 电磁 辐射 ,可 采用 链 路 
加 密 和 线路 屏蔽 的 方法 对 传输 的 信息 进行 加 密 保护 ,这 样 ,即使 非法 攻击 者 收集 到 
电磁 辐射 信息 ,也 无 法 进行 解密 。 
TEMPEST 技术 防护 。TEMPEST 是 电磁 辐射 的 防护 和 抑制 技术 。TEMPEST 有 
两 种 防护 措施 : 一 是 抑制 和 屏蔽 电磁 辐射 ,主要 方法 是 对 设备 加 金属 屏蔽 ,改善 电 
路 布局 , 搞 好 电源 线路 滤波 ,使 设备 有 效 接 地 , 减 小 传输 阻抗 ,使 用 屏蔽 插件 ,使 用 不 
产生 电磁 辐射 和 高 抗 干扰 的 光缆 ,采用 密封 好 的 屏蔽 件 、 接 插头 等 ; 二 是 采用 干扰 
性 防护 措施 , 即 在 系统 工作 时 施放 伪 噪 声 ,掩盖 真正 的 系统 工作 频率 和 信息 特性 ,使 
外 界 无 法 探测 到 信息 内 容 。 


32 计算 机 网 络 设备 的 安全 保护 
321 路 由 器 的 安全 与 配置 实践 
路 由 器 是 网 络 的 神经 中 枢 ,是 众多 网 络 设备 的 重要 一 员 , 它 担负 着 网 间 互 联 .路 由 走向 、 


协议 配置 和 网 络 安全 等 重任 ,是 信息 出 入 网 络 的 必 经 之 路 。 广 域 网 就 是 靠 一 个 个 路 由 器 连 
接 起 来 组 成 的 ,局 域 网 中 也 已 经 普遍 应 用 到 了 路 由 器 ,在 很 多 企 事业 单位 ,已 经 用 路 由 器 来 
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接 人 网 络 进行 数据 通信 ,可 以 说 ,路 由 器 现在 已 经 成 为 大 众 化 的 网 络 设备 了 。 

路 由 器 对 网 络 的 应 用 和 安全 具有 极 重 要 的 地 位 。 随 着 路 由 器 应 用 的 广泛 和 普及 , 它 的 
安全 性 也 成 为 一 个 热门 话题 。 路 由 器 的 安全 与 否 ,直接 关系 到 网 络 的 安全 。 下 面 介绍 网 络 
安全 中 路 由 器 的 安全 配置 。 


1. 路 由 器 的 自身 安全 


(1) 用 户口 令 安全 
路 由 器 有 普通 用 户 和 特权 用 户 之 分 ,口令 级 别 有 十 多 种 。 如 果 使 用 明码 ,在 浏览 或 修改 
配置 时 容易 被 其 他 无 关 人 员 宕 视 到 。 可 在 全 局 配置 模式 下 使 用 命令 


Service password - encryption 


进行 配置 ,该 命令 可 将 明文 密码 变 为 密 文 密码 ,保证 用 户口 令 的 安全 。 该 命令 具有 不 可 道 
性 , 即 它 可 将 明文 密码 变 为 密 文 密码 ,但 不 能 将 密 文 密码 变 为 明文 密码 。 

(2) 配置 登录 安全 

路 由 器 的 配置 一 般 有 控制 口 (Console) 配 置 、Telnet 配置 和 SNMP 配置 三 种 方法 。 控 
制 口 配置 主要 用 于 初始 配置 ,使 用 中 英文 终端 或 Windows 的 超级 终端 。Telnet 配置 方法 一 
般 用 于 远程 配置 ,但 由 于 Telnet 是 明文 传输 的 ,很 可 能 被 非法 窃听 而 泄露 路 由 器 的 特权 密 
码 ,影响 安全 。 而 SNMP 的 配置 则 比较 麻烦 , 故 使 用 较 少 。 

为 了 保证 使 用 Telnet 配置 路 由 器 的 安全 ,网 络 管理 员 可 以 采用 相应 技术 措施 , 仅 让 路 
由 器 管理 员 的 工作 站 登录 而 不 让 其 他 机 器 登录 到 路 由 器 ,以 保证 路 由 器 配置 的 安全 。 

使 用 下 标准 访问 列表 控制 语句 ,在 Cisco 路 由 器 的 全 局 配置 模式 下 ,键入 : 


# access - list 20 permit host 192.120.12.20 


该 命令 表示 只 人 允许 卫 为 192. 120. 12. 20 的 主机 登录 到 路 由 器 。 为 了 保证 192. 120. 12. 20 
这 一 IP 地 址 不 被 其 他 机 器 假冒 ,可 以 在 全 局 配置 模式 下 键入 


#arp 192.120. 12. 20 xxxx. xxxx. xxxx arpa 


该 命令 可 把 该 IP 地 址 与 其 网 卡 物理 地 址 绑 定 ,xxxx. xxxx. xxxx 为 机 器 的 网 卡 物理 地 
址 。 这 样 就 可 以 保证 在 用 Telnet 配置 路 由 器 时 不 会 泄露 路 由 器 的 口令 。 


2. 路 由 器 访问 控制 的 安全 策略 


在 利用 路 由 器 进行 访问 控制 时 可 考虑 如 下 安全 策略 : 

(1) 严格 控制 可 以 访问 路 由 器 的 管理 员 ; 对 路 由 器 的 任何 一 次 维护 都 需要 记录 备案 ， 
要 有 完备 的 路 由 器 的 安全 访问 和 维护 记录 日 志 。 

(2) 建议 不 要 远程 访问 路 由 器 。 即 使 需要 远程 访问 路 由 器 ,应 使 用 访问 控制 列表 和 高 
强度 的 密码 控制 。 

(3) 要 严格 地 为 IOS(Cisco 网 际 操作 系统 ) 作 安全 备份 ,及 时 升级 和 修补 IOS 软件 ,并 
迅速 为 IOS 安装 补丁 。 

(4) 要 为 路 由 器 的 配置 文件 作 安 全 备份 。 

(5) 为 路 由 器 配备 UPS 设备 ,或 者 至 少 要 有 人 宛 余 电源 。 
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(6) 为 进入 特权 模式 设置 强壮 的 密码 。 不 要 采用 enable password 而 要 采用 enable 
secret 命令 设置 ,并 要 启用 Service password-encryption 命令 。 

(7) 严格 控制 CON 端口 的 访问 。 具 体 的 措施 有 : 

。 打 开机 箱 , 切 断 与 CON 口 互 联 的 物理 线路 。 

。 改变 默认 的 连接 属性 ,例如 修改 波 特 率 (默认 是 96000 ,可 以 改 为 其 他 值 ) 。 

。 配合 使 用 访问 控制 列表 控制 对 CON 口 的 访问 。 

。 给 CON 口 设置 高 强度 的 密码 。 

(8) 如 果 不 使 用 AUX 端口 , 则 应 禁止 该 端口 ,使 用 如 下 命令 即 可 (默认 情况 下 是 未 被 
启用 ) : 

Router(config) #1ine aux 0 


Router(config- line) # transport input none 
Router(config - line)#no exec 


3. 路 由 协议 的 安全 配置 


只 有 保证 路 由 协议 的 有 效 性 和 正确 性 ,路 由 器 才能 正常 工作 。 比 较 常 用 的 路 由 协议 有 
距离 向 量 协议 RIP、 开 放 式 最 短路 径 优先 协议 OSPF 和 增强 内 部 网 关 选 择 协议 EIGRP 
(Enhanced Interior Gateway Routing Protocol) 。 为 保证 路 由 协议 的 正常 运行 ,网 络 管理 员 
在 配置 路 由 器 时 要 使 用 协议 认证 。 认 证 的 具体 操作 如 下 : 

1) RIP 路 由 协议 验证 

假设 串 行 口 Serial 1 运行 RIP 协议 ,并 且 需 要 RIP 验证 ,那么 在 全 局 配置 模式 下 键入 : 

# key chain rip - test(rip - test 是 关键 链 名 ) 

# key 1 

# key- string password (password 是 认证 字符 串 , 任 取 ) 

# router rip validate - update — source 

# inter serial 1 

# ip rip authentication key— chain rip— testip rip authentication mode md5 

要 说 明 的 是 ,在 所 运行 RIP 协议 的 接口 上 才 需 要 进行 验证 ,并 且 运 行 RIP 协议 双方 的 
路 由 器 都 要 有 相同 的 配置 ,否则 RIP 路 由 信息 不 能 够 很 好 地 交换 。 

2) OSPF 路 由 协议 验证 

OSPF 有 三 种 认证 方法 : 简单 口令 认证 ,MD5 认证 和 Null 认证。 在 默认 时 OSPF 使 用 
Null 认证 ,也 就 是 路 由 交换 不 通过 认证 。 

(1) 简单 口令 认证 

在 全 局 配置 模式 下 键入 : 

# ip ospf authentication 一 key 0 password 

# router ospf 100 

# area 0.0.0.0 authentication 

(2) MD5 认证 

在 全 局 配置 模式 下 键入 : 


# ip ospf message — digest — key 10 md5 password 
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# router ospf 100 
# area 0 authentication message 一 digest 


要 说 明 的 是 ,在 运行 OSPF 协议 的 接口 上 才 需 要 进行 验证 ,并 且 运 行 OSPF 协议 双方 的 
路 由 器 都 要 有 相同 的 配置 ,否则 OSPF 路 由 信息 不 能 很 好 地 交换 。 

3) EIGRP 路 由 协议 的 验证 

EIGRP 协议 仅仅 支持 MD5 认证 。 认 证 的 配置 有 三 个 步骤 : 一 是 在 端口 配置 模式 使 
MD5 认证 模式 生效 ; 二 是 密 钥 链 要 一 致 ; 三 是 给 密 钥 链 配置 密 钥 。 

定义 密 钥 链 和 密 钥 命令 如 下 : 

# key chain mykey 

# key 1 

# key— string xxx 

# accept — lifetime 01:00:00 sep 9 199 infinite 

# send- lifetime 01:00:00 sep 9 199 infinite 


在 端口 配置 模式 使 MD5 认证 模式 生效 的 命令 如 下 : 

# interface serial0.101 point - to- point 

# ip address xxxx xxxx 

# ip authentication mode eigrp 7 md5 

# ip authentication key— chain eigrp 7 mykey 

4) 简单 网 管 协议 SNMP 的 安全 

由 于 SNMP 配置 使 用 起 来 比较 麻烦 ,一 般 使 用 较 少 。 如 果 使 用 SNMP 协议 ,对 于 其 
public 和 private 的 验证 字 一 定 要 设置 好 。 尤 其 是 private 的 验证 字 ,一定 要 是 安全 的 .不易 
猜测 的 ,因为 知道 了 它 的 验证 字 , 就 可 以 通过 SNMP 改变 路 由 器 的 设置 。 


4. 路 由 器 的 网 络 安全 配置 


路 由 器 除 具 有 基本 的 路 由 功能 以 外 ,还 有 很 多 安全 保护 功能 ,我 们 要 充分 发 挥 路 由 器 内 
在 的 安全 性 功能 ,更 好 地 保护 网 络 安全 。 

(1) 物理 结构 的 布局 

如 果 路 由 器 有 一 个 以 上 的 局 域 网 端口 ,或 几 台 路 由 器 并 行使 用 ,可 以 根据 访问 性 质 进 行 
分 类 。 比 如 将 供 外 部 访问 的 WWW 服务 器 .FTP 服务 器 和 E-mail 服务 器 集中 放 在 一 个 端 
口上 ,将 企业 内 部 的 WWW 服务 器 .FTP 服务 器 和 数据 库 服务 器 放 在 路 由 器 的 其 他 端口 
上 。 这 样 便于 对 端口 访问 进行 控制 ,对 安全 十 分 有 利 。 即 使 黑客 攻破 了 企业 供 外 部 访问 的 
服务 器 ,由 于 企业 的 其 他 机 器 和 这 些 服务 器 不 在 同一 个 广播 域 , 信 息 被 窃听 的 可 能 性 极 低 。 

(2) 路 由 器 的 简单 防火 墙 功能 

目前 ,常用 的 路 由 器 一 般 都 有 访问 控制 列表 ACL(Access List) , 即 包 过 滤 防 火 墙 功能 。 
访问 列表 可 用 于 入 口 (Inbound) ,也 可 用 于 出 口 (Outbound)。 它 可 对 源 IP 地 址 和 目的 IP 
地 址 以 及 协议 端口 号 进行 过 滤 , 用 它 可 以 控制 哪些 网 络 可 以 访问 什么 服务 器 资源 。 使 用 
ACL 一 般 有 创建 一 个 路 由 表 、 指 定 接口 和 定义 方向 三 个 步骤。 下 面 是 一 个 配置 实例 。 

# interface serial 0( 指 定 串口 0) 


划 access 一 group 101 in( 定 义 接口 产生 的 过 滤 方 向 ) 
## access - list 101 deny ICMP any host 192.168.1.10 eq 8( 阻 止 以 ICMP 回 波 请 求 的 形式 产生 Ping， 
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防止 对 主机 耳 地 址 的 恶意 窥视 。ICMP 回 波 请 求 信息 属于 ICMP 类 型 8) 
# access 一 list 101 permit ip any host 192.168.1.10( 人 允许 所 有 其 他 IP 流向 主机 ) 
# access 一 1ist 101 deny ip any (拒绝 所 有 不 需要 的 访问 ) 


5. 禁止 路 由 器 的 部 分 网 络 服务 的 安全 配置 
(1) 禁止 Finger 服务 
禁止 Finger 服务 的 命令 如 下 : 


Router(config) # no ip finger 
Router(config)# no service finger 


(2) 禁止 TCP .UDP Small 服务 
禁止 TCP .UDP Small 服务 的 命令 如 下 : 


Router(config)# no service tcp— small — servers 
Router(config)# no service udp - small — servers 


(3) 建议 禁止 HTTP 服务 

禁止 HTTP 服务 的 命令 为 : 

Router(config)# no ip http server 

如 果 启 用 了 HTTP 服务 , 则 需要 对 其 进行 安全 配置 ,比如 设置 用 户 名 和 密码 和 采用 访 
问 列表 进行 控制 。 

(4) 禁止 BOOTp 服务 

禁止 BOOTP 服务 的 命令 为 : 

Router(config)# no ip bootp server 


(5) 禁止 IP Source Routing 
禁止 IP Source Routing 的 命令 为 ， 


Router(config) # no ip source- route 


(6) 禁止 ARP-Proxy 服务 
如 果 不 需 要 ARP-Proxy 服务 , 则 建议 禁止 它 (路 由 器 的 默认 状态 是 开启 的 )。 其 命令 
如 下 : 


Router(config)# no ip proxy— arp 
Router(config— if)# no ip proxy— arp 


(7) 禁止 IP Directed Broadcast 
禁止 IP Directed Broadcast 的 命令 为 : 


Router(config) # no ip directed - broadcast 


(8) 禁止 IP Classless 
禁止 IP Classless 的 命令 为 : 


Router(config)# no ip classless 
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(9) 禁止 ICMP 协议 的 IP Unreachables IJP Redirects 和 IP Mask Replies 
禁止 ICMP 协议 的 IP Unreachables、IP Redirects 和 IP Mask Replies 的 命令 如 下 : 


Router(config)# no ip unreachables 
Router(config) # no ip Redirects 
Router(config)# no ip Mask Replies 


6. 路 由 器 的 其 他 安全 配置 


(1) IP 欺骗 的 简单 防护 

为 防止 对 内 部 网 络 的 IP 欺骗 ,可 过 滤 一 些 IP 地 址 。 比 如 过 滤 自 己 内 部 网 络 地 址 
(201. 120. 30.0)、 回 环 地 址 (127. 0. 0.0/8)、RFC1918 私有 地 址 (172. 16. 0.0)、DHCP 自 定 
义 地 址 (169. 254. 0. 0/16)、 某 文档 作者 测试 用 地 址 (192. 0. 2. 0/24)、 不 用 的 组 播 地 址 
(224.0.0.0/4)、Sun 公司 的 原 测试 地 址 (20. 20. 20. 0/24; 204. 152. 64. 0/23) ,全 网 络 地 址 
(0.0.0.0/8), 其 具体 操作 如 下 : 


Router(config)# access— list 100 deny ip 201.120.30.0 0.0.0.255 any log 
Router(config)# access— list 100 deny ip 127.0.0.0 0.255.255.255 any log 
Router(config)# access— list 100 deny ip 172.16.0.0 0.15.255.255 any log 
Router(config)# access— list 100 deny ip 169.254.0.0 0.0.255.255 any log 
Router(config) # access— list 100 deny ip 192.0.2.0 0.0.0.255 any log 
Router(config)# access— list 100 deny ip 224.0.0.0 15.255.255.255 any log 
Router(config)# access— list 100 deny ip 20.20.20.0 0.0.0.255 any log 
Router(config)# access— list 100 deny ip 204.152.64.0 0.0.2.255 any log 
Router(config)# access— list 100 deny ip 0.0.0.0 0.255.255.255 any log 


(2) TCP SYN 的 防范 
通过 访问 列表 防范 TCP SYN 的 命令 如 下 : 


Router(config)# no access— list 106 

Router(config)# access— list 106 permit tcp any 192.168.0.0 0.0.0.255 establisted 
Router(config)# access— list 106 deny ip any any log 

Router(config)# interface eth 0/2 

Router(config— if)# description "external Ethernet" 

Router(config— if)# ipaddress 192.168.1.254 255.255.255.0 

Router(config— if)# ipaccess— group 106 in 


通过 TCP 截获 防范 TCP SYN 的 命令 如 下 : 


Router(config)# ip tcp intercept list 107 

Router(config)# access - list 107 permit tcp any 192.168.0.0 0.0.0.255 
Router(config)# access— list 107deny ip any any log 

Router(config)# interface eth0 

Router(config)# ip access - group 107 in 


(3) Smurf 进攻 的 防范 
防范 Smurf 进攻 的 命令 如 下 : 


Router(config)# access - list 108 deny ip any host 192.168.1.255 log 
Router(config)# access— list 108 deny ip any host 192.168.1.0 log 
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(4) DDoS 攻击 的 防范 

防范 DDoS 攻击 的 命令 如 下 : 

! The Trinoo DDos system 

Router(config)# access— list 113 deny tcp any any eq 27665 log 
Router(config)# access— list 113 deny udp any any eq 31335 log 
Router(config)# access— list 113 deny udp any any eq 27444 log 
! The Stacheldtraht DDos system 

Router(config)# access— list 113 deny tcp any any eq 16660 log 
Router(config)# access— list 113 deny tcp any any eq 65000 log 
1! The TrinityV3 system 

Router(config)# access - list 113 deny tcp any any eq 33270 log 
Router(config)# access - list 113 deny tcp any any eq 39168 log 
! The Subseven DDos system and some Variants 

Router(config)# access— list 113 deny tcp any any range 6711 6712 log 


322 交换 机 的 安全 与 配置 实践 


1. 交换 机 安全 


交换 机 在 内 部 网 中 占有 重要 的 地 位 ,通常 是 整个 网 络 的 核心 所 在 。 在 这 个 黑客 入 侵 成 
风 , 病 毒 肆虐 的 网 络 时 代 , 作 为 网 络 核心 的 交换 机 也 理所当然 要 承担 起 网 络 安全 的 一 部 分 责 
任 。 传 统 交 换 机 主要 用 于 数据 包 的 快速 转发 ,强调 转发 性 能 。 交 换 机 作为 网 络 环境 中 重要 
的 转发 设备 ,其 原来 的 安全 特性 已 经 无 法 满足 现在 的 安全 需求 ,因此 ,要 求 交换 机 应 有 专业 
安全 产品 的 性 能 ,安全 交换 机 应 运 而 生 。 在 安全 交换 机 中 集成 了 安全 认证 ,访问 控制 列表 
(Access Control List,ACL)、 防 火 墙 \ 人 侵 检测 、 防 攻击 、 防 病毒 等 功能 。 

1) 安全 交换 机 三 层 含义 

交换 机 最 重要 的 作用 就 是 转发 数据 ,在 黑客 攻击 和 病毒 侵扰 下 ,交换 机 要 能 够 继续 保持 
其 高 效 的 数据 转发 速率 ,不 受到 攻击 的 干扰 ,这 就 是 交换 机 所 需 的 最 基本 的 安全 功能 。 同 
时 ,交换 机 作为 整个 网 络 的 核心 ,应 该 能 对 访问 和 存 取 网 络 信息 的 用 户 进行 区 分 和 权限 控 
制 。 更 重要 的 是 ,交换 机 还 应 该 配合 其 他 网 络 安全 设备 ,对 非 授 权 访 问 和 网 络 攻击 进行 监控 
和 阻止 。 

2) 安全 交换 机 的 新 功能 

(1) 802. 1x 安全 认证 

在 传统 的 局 域 网 环境 中 ,只 要 有 物理 的 连接 端口 .未 经 授权 的 网 络 设备 就 可 以 接 入 局 域 
网 ,或 者 未 经 授权 的 用 户 就 可 以 通过 连接 到 局 域 网 的 设备 进入 网 络 。 这 样 就 造成 了 潜在 的 
安全 威胁 。 另 外 ,在 学 校 和 智能 小 区 的 网 络 中 ,由 于 涉及 网 络 的 计 费 ,所 以 验证 用 户 接 入 的 
合法 性 也 显得 非常 重要 。IEEE 802. 1x 正 是 解决 这 个 问题 的 良 方 ,目前 已 经 被 集成 到 二 层 
智能 交换 机 中 ,完成 对 用 户 的 接 入 安全 审核 。 

802. 1x 协议 是 刚刚 完成 标准 化 的 一 个 符合 IEEE 802 协议 集 的 局 域 网 接 入 控制 协议 ， 
其 全 称 为 基于 端口 的 访问 控制 协议 。 它 能 够 在 利用 IEEE 802 局 域 网 优势 的 基础 上 提供 一 
种 对 连接 到 局 域 网 的 用 户 进行 认证 和 授权 的 手段 ,达到 接受 合法 用 户 接 入 保护 网 络 安全 的 
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目的 。 

802. 1x 协议 与 LAN 是 无 颖 融合 的 。802. 1x 利用 了 交换 式 LAN 架构 的 物理 特性 , 实 
现 了 LAN 端口 上 的 设备 认证 。 在 认证 过 程 中 ,LAN 端口 要 么 充当 认证 者 ,要 么 扮演 请 求 
者 。 在 作为 认证 者 时 ,LAN 端口 在 需要 用 户 通过 该 端口 接 人 相应 的 服务 之 前 ,首先 进行 认 
证 ,如 若 认 证 失败 则 不 允许 接 人 ; 在 作为 请 求 者 时 ,LAN 端口 则 负责 向 认证 服务 器 提交 接 
入 服务 申请 。 基 于 端口 的 MAC 锁定 只 允许 信任 的 MAC 地 址 向 网 络 中 发 送 数据 。 来 自任 
何 “ 不 信任 ”的 设备 的 数据 流 会 被 自动 丢弃 ,从 而 确保 最 大 限度 的 安全 性 。 

在 802. 1x 协议 中 ,只 有 具备 了 以 下 三 个 元 素 才 能 够 完成 基于 端口 的 访问 控制 的 用 户 认 
证 和 授权 : 

。 客户 端 。 客 户 端 一 般 安 装 在 用 户 的 工作 站 上 , 当 用 户 有 上 网 需求 时 ,激活 客户 端 程 
序 , 输 入 必要 的 用 户 名 和 口令 ,客户 端 程序 将 会 送出 连接 请 求 。 
认证 系统 。 在 以 太 网 系统 中 认证 系统 就 是 指认 证 交换 机 ,其 主要 作用 是 完成 用 户 认 
证 信息 的 上 传 .下达 工作 ,并 根据 认证 的 结果 打开 或 关闭 端口 。 
认证 服务 器 。 认 证 服务 器 通过 检验 客户 端 发 送 来 的 身份 标识 (用 户 名 和 口令 ) 来 判 
别 用 户 是 否 有 权 使 用 网 络 系统 提供 的 网 络 服务 ,并 根据 认证 结果 向 交换 机 发 出 打开 
或 保持 端口 关闭 的 状态 的 命令 。 

(2) 流量 控制 

安全 交换 机 的 流量 控制 技术 把 流 经 端口 的 异常 流量 限制 在 一 定 的 范围 内 ,避免 交换 机 
的 带宽 被 无 限制 滥用 。 安 全 交换 机 的 流量 控制 功能 能 够 实现 对 异常 流量 的 控制 ,避免 网 络 

(3) 防范 DDoS 攻击 

企业 网 一 旦 遭 到 分 布 式 拒绝 服务 (DDoS) 攻 击 ,会 影响 大 量 用户 的 正常 使 用 ,严重 时 甚 
至 造成 网 络 瘫痪 。 安 全 交换 机 采用 专门 技术 来 防范 DDoS 攻击 , 它 可 以 在 不 影响 正常 业务 
的 情况 下 ,智能 地 检测 和 阻止 恶意 流量 ,从 而 防止 网 络 受 到 DDoS 攻击 的 威胁 。 

(4) 虚拟 局 域 网 VLAN 

虚拟 局 域 网 是 安全 交换 机 必 不 可 少 的 功能 。VLAN 可 以 在 二 层 或 三 层 交 换 机 上 实现 
有 限 的 广播 域 。 它 可 把 网 络 分 成 一 个 个 独立 的 区 域 ,控制 这 些 区 域 是 否 可 以 通信 。VLAN 
可 以 跨越 一 个 或 多 个 交换 机 ,设备 之 间 好 像 在 同一 个 网 络 间 通 信 一 样 ,与 它们 的 物理 位 置 无 
关 。VLAN 可 在 各 种 形式 上 形成 ,如 端口 .MAC 地 址 、IP 地 址 等 。VLAN 限制 了 各 个 不 同 
VLAN 之 间 的 非 授权 访问 ,而 且 可 以 设置 IP 地 址 与 MAC 地 址 绑 定 功能 限制 用 户 非 授 权 访 
问 网 络 。 

(5) 基于 ACL 的 防火 墙 功能 

安全 交换 机 采用 了 访问 控制 列表 (ACL) 来 实现 包 过 滤 防 火 墙 的 安全 功能 ,增强 安全 防 
范 能 力 。ACL 通过 对 网 络 资源 的 访问 控制 ,确保 网 络 设 备 不 被 非法 访问 或 被 用 做 攻击 跳 
板 。ACL 是 一 张 规则 表 ,交换 机 按照 顺序 执行 这 些 规则 ,并 且 处 理 每 一 个 进入 端口 的 数据 
包 。 每 条 规则 根据 数据 包 的 属性 (如 源 地 址 .目的 地 址 和 协议 ) 人 允许 或 拒绝 数据 包 通 过 。 由 
于 规则 是 按照 一 定 顺 序 处 理 的 ,因此 每 条 规则 的 相对 位 置 对 于 确定 允许 和 不 允许 什么 样 的 
数据 包 通 过 网 络 至 关 重 要 。ACL 以 前 只 在 核心 路 由 器 中 使 用 。 在 安全 交换 机 中 ,访问 控制 
过 滤 措 施 可 以 基于 源 /目标 交换 柳 、 端 口 . 源 /目标 VLAN、 源 /目标 IP、TCP/UDP 端口 、 
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ICMP 类 型 或 MAC 地 址 来 实现 。 

ACL 不 但 可 以 使 网 络 管理 者 用 来 制定 网 络 策略 ,针对 个 别 用 户 或 特定 的 数据 流 进行 允 
许 或 拒绝 的 控制 ,也 可 以 用 来 加 强 网 络 的 安全 屏蔽 ,使 黑客 找 不 到 网 络 中 的 特定 主机 进行 探 
测 , 从 而 无 法 发 动 攻击 。 

(6) IDS 功能 

安全 交换 机 的 人 侵 检测 系统 (IDS) 功 能 可 以 根据 上 报信 息 和 数据 流 内 容 进 行 检测 ,在 
发 现 网 络 安全 事件 时 ,进行 有 针对 性 的 操作 ,并 将 这 些 对 安全 事件 反应 的 动作 发 送 到 交换 机 
上 ,由 交换 机 来 实现 精确 的 端口 断 开 操作 。 实 现 这 种 联动 ,需要 交换 机 支持 认证 、 端 口 镜像 、 
强制 流 分 类 .进程 数控 制 .端口 反 向 查询 等 功能 。 

3) 安全 交换 机 的 配置 

安全 交换 机 的 出 现 , 使 得 网 络 在 交换 机 层次 上 的 安全 能 力 大 大 增强 。 安 全 交换 机 可 以 
配备 在 网 络 的 核心 位 置 上 ,如 Cisco 的 Catalyst 6500 模块 化 的 核心 交换 机 。 这 样 就 可 以 在 
核心 交换 机 上 统一 配置 安全 策略 ,做 到 集中 控制 ,方便 网 络 管理 人 员 的 监控 和 调整 。 

把 安全 交换 机 放 在 网 络 的 接 入 层 或 汇聚 层 ,是 另外 一 个 选择 。 这 样 配备 安全 交换 机 的 
方式 就 是 核心 把 权力 下 放 到 边缘 ,在 各 个 边缘 就 开始 实施 安全 交换 机 的 性 能 ,把 入 侵 和 攻击 
以 及 可 疑 流量 阻挡 在 边缘 之 外 ,确保 全 网 的 安全 。 这 样 就 需要 在 边缘 配备 安全 交换 机 ,很 多 
厂家 已 经 推出 了 各 种 边缘 或 汇聚 层 使 用 的 安全 交换 机 。 它 们 就 像 一 个 个 堡垒 一 样 ,在 核心 
周围 建立 起 一 道 坚固 的 安全 防线 。 


2. Cisco 交换 机 安全 配置 


1) 交换 机 端口 安全 配置 方案 与 操作 

配置 Cisco 交换 机 端口 安全 可 有 三 种 方案 供 选择 。 方 案 1 和 方案 2 实现 的 功能 类 似 ， 
可 在 具体 的 交换 机 端口 上 绑 定 特定 的 主机 的 MAC 地 址 (网 卡 硬件 地 址 ); 方案 3 是 在 具体 
的 交换 机 端口 上 同时 绑 定 特定 的 主机 的 MAC 地 址 (网 卡 硬件 地 址 ) 和 IP 地 址 。 

(1) 配置 方案 1 一 一 基于 端口 的 MAC 地 址 绑 定 

现 以 Cisco 2950 交换 机 为 例 进行 配置 。 登 录 进 入 Cisco 交换 机 ,输入 管理 口令 进入 配 
置 模式 , 键 和 人 如 下 命令 : 

Switch# config terminal # 进 入 配置 模式 

Switch(config)Interface fastethernet 0/1 # 进 入 具体 端口 配置 模式 

Switch(config if)Switchport port - secruity # 配置 端口 安全 模式 

Switch(config- if )switchport port — security mac - address MAC( 地 址 ) 

# 配 置 该 端口 要 绑 定 的 主机 的 MAC 地 址 
Switch(config- if )no switchport port — security mac — address MAC( 地 址 ) 
# 删除 绑 定 主 机 的 MAC 地 址 

注意 : 以 上 命令 可 使 交换 机 上 某 个 端口 绑 定 一 个 具体 主机 的 MAC 地 址 ,这 样 只 有 该 
主机 可 以 使 用 网 络 ,如 果 对 该 主机 的 网 卡 进行 了 更 换 或 其 他 PC 想 通 过 该 端口 使 用 网 络 都 
是 不 可 行 的 ,除非 删除 或 修改 该 端口 上 绑 定 的 MAC 地 址 。 

以 上 设置 适用 于 Cisco 2950、3550、4500、6500 系列 交换 机 。 

(2) 配置 方案 2 一 一 基于 MAC 地 址 的 扩展 访问 列表 

登录 进入 Cisco 交换 机 ,输入 如 下 命令 : 
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Switch(config)Mac access — list extended MAC10 

# 定 义 一 个 MAC 地 址 访问 控制 列表 并 且 命名 该 列表 为 MAC10 
Switch(config)permit host 0009. 6bc4. d4bf any 

# 定 义 MAC 地 址 为 0009. 6bc4. d4bf 的 主机 可 以 访问 任意 主机 
Switch(config)permit any host 0009. 6bc4. d4bf 

# 定 义 所 有 主机 可 以 访问 MAC 地 址 为 0009. 6bc4. d4bf 的 主机 
Switch(config- if )interface Fa0/20 # 进 入 配置 具体 端口 的 模式 
Switch(config- if )mac access — group MAC10 in 

# 在 该 端口 上 应 用 名 为 MAC10 的 访问 列表 
Switch(config)no mac access - list extended MAC10 

# 清除 名 为 MAC10 的 访问 列表 


此 配置 功能 与 方案 1 大 体 相同 ,但 它 是 基于 端口 的 MAC 地 址 访问 控制 列表 限制 ,可 以 


限定 特定 源 MAC 地 址 与 目的 地 址 范围 。 


以 上 配置 功能 在 Cisco 2950、3550、4500、6500 系列 交换 机 上 均 可 实现 ,但 需 注 意 的 是 


2950、3550 需要 交换 机 运行 增强 的 软件 镜像 (Enhanced Image) 。 


(3) 配置 方案 3 一 一 IP 地 址 与 MAC 地 址 绑 定 
将 方案 1 或 方案 2 与 基于 IP 的 访问 控制 列表 组 合 可 实现 IP 地 址 与 MAC 地 址 绑 定 。 


Switch(config)mac access - list extended MAC10 

# 定 义 一 个 MAC 地 址 访问 控制 列表 并 且 命名 该 列表 为 MAC10 
Switch(config)permit host 0009. 6bc4.d4bf any 

# 定 义 MAC 地 址 为 0009. 6bc4.d4bf 的 主机 可 以 访问 任意 主机 
Switch(config)permit any host 0009. 6bc4. d4bf 

# 定 义 所 有 主机 可 以 访问 MAC 地 址 为 0009. 6bc4. d4bf 的 主机 
Switch(config)ip access — list extended IP10 

# 定 义 一 个 IP 地址 访问 控制 列表 并 且 命 名 该 列表 为 IP10 
Switch(config)permit 192.168.0.1 0.0.0.0 any 

# 定 义 IP 地 址 为 192.168.0.1 的 主机 可 以 访问 任意 主机 
Switch(config)permit any 192.168.0.1 0.0.0.0 

# 定 义 所 有 主机 可 以 访问 IP 地 址 为 192.168.0.1 的 主机 
Switch(config- if )interface Fa0/20 

# 进 入 配置 具体 端口 的 模式 
Switch(config— if )mac access — group MAC10 in 

# 在 该 端口 上 应 用 名 为 MAC10 的 访问 列表 ( 即 前 面 定义 的 访问 策略 ) 
Switch(config— if )ip access - group IP10 in 

# 在 该 端口 上 应 用 名 为 IP10 的 访问 列表 ( 即 前 面 定义 的 访问 策略 ) 
Switch(config)no mac access — list extended MAC10 in 

# 清 除名 为 MAC10 的 访问 列表 
Switch(config)no ip access - group IP10 in 


# 清 除名 为 IP10 的 访问 列表 
上 述 方案 1 是 基于 主机 MAC 地 址 与 交换 机 端口 的 绑 定 ,方案 2 是 基于 MAC 地 址 的 访 


问 控制 列表 。 将 方案 1 或 方案 2 与 IP 访问 控制 列表 结合 起 来 使 用 以 达到 绑 定 IP 与 MAC 
地 址 的 目的 。 


2) 交换 机 端口 与 主机 地 址 的 安全 配置 
最 常用 的 对 端口 安全 的 理解 就 是 可 根据 MAC 地 址 进行 对 网 络 流量 的 控制 和 管理 , 比 


如 MAC 地 址 与 具体 的 端口 绑 定 ,限制 具体 端口 通过 的 MAC 地 址 的 数量 ,或 者 在 具体 的 端 
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口 不 允许 某 些 MAC 地 址 的 帧 流量 通过 。 

(1) MAC 地 址 与 端口 绑 定 

当 发 现 主机 的 MAC 地 址 与 交换 机 上 指定 的 MAC 地 址 不 同时 ,交换 机 相应 的 端口 将 
down 掉 。 当 给 端口 指定 MAC 地 址 时 ,端口 模式 必须 为 access 或 者 trunk 状态 。MAC 地 
址 与 端口 绑 定 的 操作 如 下 : 


3550—1#conf t 
3550 - 1(config) # int f0/1 
3550— 1(config— if)# switchport mode access 
/指定 端口 模式 
3550— 1(config— if)# switchport port— security mac 一 address 00— 90—F5—-10—-79—Cl 
/配置 MAC 地 址 
3550— 1(config— if)# switchport port ~ security maximum 1 
/限制 此 端口 允许 通过 的 MAC 地 址 数 为 1 
3550— 1(config— if)# switchport port ~ security violation shutdown 
/ 当 发 现 与 上 述 配置 不 符 时 ,端口 down 掉 


(2) 通过 MAC 地 址 来 限制 端口 流量 
此 配置 允许 一 个 trunk 端口 最 多 通过 100 个 MAC 地 址 ,超过 100 时 ,来 自 新 主机 的 数 
据 帧 将 丢失 。 限 制 端口 流量 的 MAC 地 址 配置 操作 如 下 : 


3550—1#conf t 

3550 - 1(config) # int f0/1 

3550 — 1(config— if)# switchport trunk encapsulation dotlqg 

3550 - 1(config— if) # switchport mode trunk 
/配置 端口 模式 为 trunk 

3550 - 1(config— if)# switchport port — security maximum 100 
/允许 此 端口 通过 的 最 大 MAC 地 址 数目 为 100 

3550 - 1(config— if)# switchport port — security violation protect 
/当主 机 MAC 地 址 数目 超过 100 时 ,交换 机 继续 工作 ,但 来 自 新 的 主机 的 数据 帧 将 丢失 


上 述 配 置 可 根据 MAC 地 址 来 允许 流量 ,如 下 的 配置 则 是 根据 MAC 地 址 来 拒绝 流量 : 


3550—1#conf 七 

3550— 1(config)#mac— address— table static 00-90-F5-10-79-Cl vlan 2 drop 
/在 相应 的 VLAN 丢弃 流量 

3550—1#conf 七 

3550 - 1(config) # mac - address - table static 00— 90— F5—10—79-Cl vlan?2 int f0/1 
/在 相应 的 接口 丢弃 流量 


(3) 可 靠 的 MAC 地 址 配置 类 型 

可 靠 的 MAC 地 址 配置 有 如 下 三 种 类 型 : 

。 静态 可 靠 的 MAC 地址。 在 交换 机 接口 模式 下 手动 配置 ,该 配置 会 被 保存 在 交换 机 
MAC 地 址 表 和 运行 配置 文件 中 ,交换 机 重新 启动 后 不 丢失 (当然 是 在 保存 配置 完成 
后 )。 静 态 可 靠 的 MAC 地 址 的 命令 步骤 如 下 : 

Switch# config terminal 
Switch(config) # interface interface- id 进入 需要 配置 的 端口 


Switch(config - if) # switchport mode Access 设置 为 交换 模式 
Switch(config - 诗 ) # switchport port - security 打开 端口 安全 模式 
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Switch(config - if)# switchport port — security violation {protect | restrict | shutdown } 


上 一 条 命令 是 可 选 的 ,可 以 不 用 配置 ,默认 的 是 shutdown 模式 ,但 是 在 实际 配置 中 推 
荐 使 用 restrict。 


Switch(config— if)# switchport port 一 security maximum value 


上 一 条 命令 也 是 可 选 的 ,可 以 不 用 配置 ,默认 的 maximum 是 一 个 MAC 地 址 ,2950 和 
3550 交换 机 的 这 个 最 大 值 是 132。 


动态 可 靠 的 MAC 地 址 。 这 是 交换 机 默认 的 类 型 。 在 这 种 类 型 下 ,交换 机 会 动态 学 
习 MAC 地 址 ,但 是 该 配置 只 会 保存 在 MAC 地 址 表 中 ,不 会 保存 在 运行 配置 文件 
中 ,并 且 交换 机 重新 启动 后 ,这 些 MAC 地 址 表 中 的 MAC 地 址 会 被 自动 清除 。 动 态 
可 靠 的 MAC 地 址 配置 , 因 是 交换 机 默认 的 设置 ,这 里 不 再 介绍 其 步骤 。 

黏 性 可 靠 的 MAC 地 址 。 这 种 情况 下 可 以 手动 配置 MAC 地 址 和 端口 的 绑 定 ,也 可 
以 让 交换 机 自动 学 习 来 绑 定 。 该 配置 会 被 保存 在 MAC 地 址 中 和 运行 配置 文件 中 。 
如 果 保 存 配置 , 交换 机 重启 动 后 不 用 再 自动 重新 学 习 MAC 地 址 。 黏 性 可 靠 的 
MAC 地 址 配置 的 命令 步骤 如 下 : 

Switch# config terminal 

Switch(config) # interface interface 一 id 

Switch(config - if)# switchport mode Access 

Switch(config — if)# switchport port 一 security 

Switch(config - if)# switchport port — security violation {protect | restrict | shutdown } 
Switch(config— if)# switchport port 一 security maximum value 


上 面 几 条 命令 的 解释 与 静态 的 原因 相同 ,不 再 说 明 。 
Switch(config - if)# switchport port - security mac - address sticky 


上 一 条 命令 就 说 明 是 配置 为 黏 性 可 靠 的 MAC 地 址 。 

3) 交换 机 访问 控制 的 安全 配置 

作为 网 络 中 应 用 最 为 广泛 的 交换 机 ,要 能 开发 其 安全 特性 以 有 效 地 保护 对 网 络 的 访问 ， 
一 些 组 织 和 厂商 也 纷纷 提出 自己 的 安全 策略 。 现 在 通过 多 层 交 换 机 特性 来 提高 网 络 的 安全 
性 和 对 带宽 的 控制 已 经 相当 的 普遍 。 随 着 一 些 安全 特性 如 访问 控制 列表 (ACL) 和 802. 1x 
标准 已 经 成 为 许多 厂商 产品 的 标准 ,一 些 使 用 者 开始 把 它们 作为 网 络 设施 安全 的 一 个 单独 
增加 的 层次 。 

ACL 通过 对 网 络 资源 进行 访问 输入 和 输出 控制 ,确保 网 络 设备 不 被 非法 访问 或 被 用 做 
攻击 跳板 。ACL 是 一 张 规则 表 , 交 换 机 按照 顺序 执行 这 些 规则 ,并 且 处 理 每 一 个 进入 端口 
的 数据 包 。 每 条 规则 根据 数据 包 的 属性 (如 源 地 址 、 目 的 地 址 和 协议 ) 要 么 允许 .要 么 拒绝 数 
据 包 通 过 。 由 于 规则 是 按照 一 定 顺 序 处 理 的 ,因此 每 条 规则 的 相对 位 置 对 于 确定 允许 和 不 
允许 什么 样 的 数据 包 通 过 网 络 至 关 重 要 。 操 作 步 骤 如 下 (192. 168. 1. 2 和 192. 168. 1. 1 分 
别 为 两 个 主机 的 IP 地 址 ) : 


Switch(config)#access— list 1 permit host 192.168.1.2 
Switch(config) #access — list ldeny any 
Switch(config)# int vlan 1 
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Switch(config— vlan)ip access 一 group 1 out 
Switch(config— vlan)ip access ~ group 1 in 
Switch(config) #access— list 2 permit host 192.168.1.1 
Switch(config)#access — list 2 deny any 

Switch(config) # int vlan 2 

Switch(config 一 vlan) ip access 一 group 2 out 
Switch(config- vlan) ip access ~- group 2 in 


习题 和 思考 题 


一 、 问 答题 
. 简 述 机 房 选 址 时 对 机 房 环境 及 场地 的 考虑 。 
. 简 述 机 房 的 防火 和 防水 措施 。 
. 简 述 机 房 的 静电 防护 措施 。 
. 简 述 机 房 内 的 电磁 辐射 保护 措施 。 
. 简 述 机 房 的 电源 系统 措施 。 
. 简 述 路 由 器 协议 安全 的 配置 。 
. 简 述 安全 交换 机 的 性 能 。 

二 、 填空 题 

1. 按 计 算 机 系统 的 安全 要 求 ,机 房 的 安全 可 分 为 5 和 = 
级 别 。 

2. 根据 国家 标准 ,大 型 计算 机 机 房 一 般 具有 、 安 全 保护 地 和 

等 4 种 接地 方式 。 

3. 网 络 机 房 的 保护 通常 包括 机 房 的 \ 防 雷 和 接地 、 \ 防 盗 、 
防震 等 措施 。 

4. 一 般 情况 下 ,机 房 的 温度 应 控制 在 Y ,机房 相对 湿度 应 为 %。 

5. 电磁 辐射 的 保护 可 分 为 \ 建 筑 保护 、 和 TEMPEST 技术 
防护 等 层次 。 

6. 在 802. 1x 协议 中 ,具备 2 和 三 个 元 素 能 够 完成 基于 端口 
的 访问 控制 的 用 户 认 证 和 授权 。 

7. 安全 交换 机 采用 了 来 实现 包 过 滤 防 火 墙 的 安全 功能 ,增强 安全 防范 能 力 。 


~ 虽 辐 上 oo 
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网 络 数据 库 与 数据 安全 


本 章 要 点 

。 网 络 数据 库 系统 特性 及 安全 ; 

。 网络 数据 库 的 安全 特性 ; 

。 网 络 数据 库 的 安全 保护 ; 

。 网络 数据 备份 和 恢复 。 

在 当今 信息 时 代 , 几 乎 所 有 企 事业 单位 的 核心 业务 处 理 都 依赖 于 计算 机 网 络 系统 。 在 
计算 机 网 络 系统 中 最 为 宝贵 的 就 是 数据 。 

数据 在 计算 机 网 络 中 具有 两 种 状态 : 存储 状态 和 传输 状态 。 当 数据 在 计算 机 系统 数据 
库 中 保存 时 ,处 于 存储 状态 ; 而 在 与 其 他 用 户 或 系统 交换 时 ,数据 处 于 传输 状态 。 无 论 是 数 
据 处 于 存储 状态 还 是 传输 状态 ,都 可 能 会 受到 安全 威胁 。 要 保证 企 事业 单位 业务 持续 成 功 
地 运作 ,就 要 保护 数据 库 系统 中 的 数据 安全 。 


41 网 络 数 据 库 安全 概述 


保证 网 络 系统 中 数据 安全 的 主要 任务 就 是 使 数据 免 受 各 种 因素 的 影响 ,保护 数据 的 完 
整 性 ,保密 性 和 可 用 性 。 

人 为 的 错误 .硬盘 的 损毁 .电脑 病毒 .自然 灾难 等 都 有 可 能 造成 数据 库 中 数据 的 丢失 ,给 
企 事业 单位 造成 无 可 估量 的 损失 。 如 果 丢失 了 系统 文件 、 客 户 资料 .技术 文档 .人 事 档 案 文 
件 、 财 务 账目 文件 , 企 事 业 单位 的 业务 将 难以 正常 进行 。 因 此 ,所 有 的 企 事业 单位 管理 者 都 
应 采取 数据 库 的 有 效 保护 措施 ,使 得 灾难 发 生 后 ,能 够 尽快 地 恢复 系统 中 的 数据 ,恢复 系统 
的 正常 运行 。 

为 了 保护 数据 安全 ,可 以 采用 很 多 安全 技术 和 措施 。 这 些 技术 和 措施 主要 有 数据 完整 
性 技术 数据 备份 和 恢复 技术 .数据 加 密 技 术 、 访 问 控制 技术 ,用户 身 份 验证 技术 .数据 鉴别 
技术 、 并 发 控制 技术 等 。 


411 数据 库 安全 的 概念 


数据 库 安全 是 指数 据 库 的 任何 部 分 都 不 允许 受到 侵害 ,或 未 经 授权 的 存 取 和 修改 。 数 
据 库 安全 性 问题 一 直 是 数据 库 管理 员 所 关心 的 问题 。 
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1. 数据 库 安全 


数据 库 就 是 一 种 结构 化 的 数据 仓库 。 人 们 时 刻 都 在 和 数据 打交道 。 对 于 少量 、 简 单 的 
数据 ,如 果 与 其 他 数据 之 间 的 关联 较 少 或 没有 关联 , 则 可 将 它们 简单 地 存放 在 文件 中 。 普 通 
记录 文件 没有 系统 结构 来 系统 地 反映 数据 间 的 复杂 关系 , 它 也 不 能 强制 定义 个 别 数据 对 象 。 
但 是 企业 数据 都 是 相关 联 的 ,不 可 能 使 用 普通 的 记录 文件 来 管理 大 量 的 、 复 杂 的 系列 数据 ， 
比如 银行 的 客户 数据 或 生产 厂商 的 生产 控制 数据 等 。 

数据 库 安 全 主要 包括 数据 库 系统 的 安全 性 和 数据 库 数 据 的 安全 性 两 层 含义 。 

第 一 层 含义 是 数据 库 系 统 的 安全 性 。 数 据 库 系统 安全 性 是 指 在 系统 级 控制 数据 库 的 存 
取 和 使 用 的 机 制 ,应 尽 可 能 地 堵 住 潜在 的 各 种 漏洞 ,防止 非法 用 户 利用 这 些 漏 洞 侵入 数据 库 
系统 ; 保证 数据 库 系 统 不 因 软 硬 件 故障 及 灾害 的 影响 而 使 系统 不 能 正常 运行 。 数 据 库 系 统 
安全 包括 : 

。 硬件 运行 安全 。 

。 物理 控制 安全 。 

。 操作 系统 安全 。 

。 用 户 有 可 连接 数据 库 的 授权 。 

。 灾害 故障 恢复 。 

第 二 层 含义 是 数据 库 数 据 的 安全 性 。 数 据 库 数据 安全 性 是 指 在 对 象 级 控制 数据 库 的 存 
取 和 使 用 的 机 制 ,哪些 用 户 可 存 取 指 定 的 模式 对 象 及 在 对 象 上 允许 有 哪些 操作 类 型 。 数 据 
库 数据 安全 包括 : 

。 有 效 的 用 户 名 /口令 鉴别 。 

。 用 户 访问 权限 控制 。 

。 数据 存 取 权 限 .方式 控制 。 

。 审计 跟踪 。 

。 数据 加 密 。 

。 防止 电磁 信息 泄露 。 

数据 库 数据 的 安全 措施 应 能 确保 数据 库 系 统 关闭 后 , 当 数 据 库 数据 存储 媒体 被 破坏 或 
当 数 据 库 用 户 误 操作 时 ,数据 库 数据 信息 不 至 于 丢失 。 对 于 数据 库 数 据 的 安全 问题 ,数据 库 
管理 员 可 以 采用 系统 双 机 热 备份 数据库 的 备份 和 恢复 、 数 据 加 密 、 访 问 控制 等 措施 实施 。 


2. 数据 库 安全 管理 原则 


一 个 强大 的 数据 库 安全 系统 应 当 确 保 其 中 信息 的 安全 性 ,并 对 其 进行 有 效 的 管理 控制 。 
下 面 几 项 数据 库 管理 原则 有 助 于 企业 在 安全 规划 中 实现 对 数据 库 的 安全 保护 。 

(1) 管理 细 分 和 委派 原则 

在 数据 库 工作 环境 中 ,数据 库 管 理 员 (DBA) 一 般 都 是 独立 执行 数据 库 的 管理 和 其 他 事 
务工 作 , 一 旦 出 现 岗位 变换 ,将 带 来 一 连 串 的 问题 和 效率 低下 。 通 过 管理 责任 细 分 和 任务 委 
派 ,DBA 可 从 常规 事务 中 解脱 出 来 ,更 多 地 关注 于 解决 数据 库 执行 效率 及 管理 相关 的 重要 
问题 ,从 而 保证 任务 的 高 效 完成 。 企 业 应 设法 通过 功能 和 可 信赖 的 用 户 群 进一步 细 分 数据 
库 管理 的 责任 和 角色 。 
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(2) 最 小 权限 原则 

企业 必须 本 着 “最 小 权限 ”原则 ,从 需求 和 工作 职能 两 方面 严格 限制 对 数据 库 的 访问 。 
通过 角色 的 合理 运用 ,“ 最 小 权限 ”可 确保 数据 库 功 能 限制 和 特定 数据 的 访问 。 

(3) 账号 安全 原则 

对 于 每 一 个 数据 库 连 接 来 说 ,用 户 账号 都 是 必需 的 。 账 号 的 设立 应 遵循 传统 的 用 户 账 
号 管理 方法 来 进行 安全 管理 ,这 包括 密码 的 设 定 和 更 改 、 账 号 锁定 功能 、 对 数据 提供 有 限 的 
访问 权限 、 禁 止 休 卢 状态 的 账户 、 设 定 账 户 的 生命 周期 等 。 

(4) 有 效 审 计 原 则 

数据 库 审计 是 数据 库 安全 的 基本 要 求 , 它 可 用 来 监视 各 用 户 对 数据 库 实施 的 操作 。 企 
业 应 针对 自己 的 应 用 和 数据 库 活动 定义 审计 策略 。 条 件 允 许 的 地 方 可 采取 智能 审计 ,这 样 
不 仅 能 节约 时 间 , 而 且 能 减少 执行 审计 的 范围 和 对 象 。 通 过 智能 限制 日 志 大 小 ,还 能 突出 更 
加 关键 的 安全 事件 。 


412 数据 库 管 理 系统 及 其 特性 


1. 数据 库 管 理 系统 简介 


数据 库 管理 系统 (DBMS) 已 经 发 展 了 二 十 余年 。 人 们 提出 了 许多 数据 模型 ,并 一 一 实 
现 ,其 中 比较 重要 的 是 关系 模型 。 在 关系 型 数据 库 中 ,数据 项 保存 在 行 中 ,文件 就 像 是 一 个 
表 。 关 系 被 描述 成 不 同 数据 表 间 的 匹配 关系 。 一 个 区 别 关 系 模型 和 网 络 及 分 级 型 数据 库 的 
重要 一 点 ,就 是 数据 项 关系 可 以 被 动态 地 描述 或 定义 ,而 不 需要 因 结 构 改 变 而 重新 加 载 数 
据 库 。 

早 在 1980 年 ,数据 库 市 场 就 被 关系 型 数据 库 管理 系统 所 占领 。 这 个 模型 基于 一 个 可 靠 
的 基础 , 它 可 以 简单 并 恰当 地 将 数据 项 描述 成 为 表 (table) 中 的 记录 行 (raw)。 关 系 模型 第 
一 次 广泛 的 推行 是 在 1980 年 ,是 因为 一 种 标准 的 数据 库 访问 程序 语言 被 开发 , 它 被 称 做 结 
构 化 查询 语言 (SQL)。 今 天 ,成 千 上 万 使 用 关系 型 数据 库 的 应 用 程序 已 经 被 开发 出 来 。 由 
于 数据 库 保 证 了 数据 的 完整 性 ,企业 通常 将 他 们 的 关键 业务 数据 存放 在 数据 库 中 。 因 此 保 
护 数 据 库 安全 、 避 免 错误 和 数据 库 故障 已 经 成 为 企业 所 关注 的 重点 。 


2. 数据 库 管 理 系统 的 安全 功能 


DBMS 是 专门 负责 数据 库 管理 和 维护 的 计算 机 软件 系统 。 它 是 数据 库 系统 的 核心 ,不 
仅 负 责 数据 库 的 维护 工作 ,还 能 保护 数据 库 的 安全 性 和 完整 性 。 

数据 库 管 理 系统 是 近似 于 文件 系统 的 软件 系统 ,通过 它 ,应 用 程序 和 用 户 可 以 取得 所 需 
的 数据 。 但 与 文件 系统 不 同 ,DBMS 定义 了 所 管理 的 数据 之 间 的 结构 和 约束 关系 , 且 提 供 
了 一 些 基 本 的 数据 管理 和 安全 功能 。 

(1) 数据 的 安全 性 

在 网 络 应 用 上 ,数据 库 必 须 是 一 个 可 以 存储 数据 的 安全 地 方 。DBMS 能 够 提供 有 效 的 
备份 和 恢复 功能 ,来 确保 在 故障 和 错误 发 生 后 ,数据 能 够 尽快 地 恢复 并 可 被 访问 。 对 于 企 事 
业 单位 来 说 ,把 关键 的 和 重要 的 数据 存放 在 数据 库 中 ,要 求 DBMS 必须 能 够 防止 未 授权 的 
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数据 访问 。 

只 有 数据 库 管理 员 对 数据 库 中 的 数据 拥有 完全 的 操作 权限 ,并 可 以 规定 各 用 户 的 权限 。 
DBMS 保证 对 数据 的 存 取 方 法 是 唯一 的 。 每 当 用 户 想 要 存 取 敏 感 数 据 时 ,DBMS 就 进行 安 
全 性 检查 。 在 数据 库 中 ,对 数据 进行 各 种 类 型 的 操作 (检索 ,修改 、 删 除 等 ) 时 ,DBMS 都 可 
以 对 其 实施 不 同 的 安全 检查 。 

(2) 数据 的 共享 性 

一 个 数据 库 中 的 数据 不 仅 可 以 为 同一 企业 或 组 织 内 部 的 各 个 部 门 所 共享 ,也 可 为 不 
同 组 织 不 同 地 区 甚至 不 同 国家 的 多 个 应 用 和 用 户 同时 进行 访问 ,而 且 还 要 不 影响 数据 
的 安全 性 和 完整 性 ,这 就 是 数据 共享 。 数 据 共享 是 数据 库 系统 的 目的 ,也 是 它 的 一 个 重 
要 特点 。 

数据 库 中 数据 的 共享 主要 体现 在 以 下 方面 : 

。 不 同 的 应 用 程序 可 以 使 用 同一 个 数据 库 。 

。 不 同 的 应 用 程序 可 以 在 同一 时 刻 去 存 取 同 一 个 数据 。 

。 数据 库 中 的 数据 不 但 可 供 现 有 的 应 用 程序 共享 ,还 可 为 新 开发 的 应 用 程序 使 用 。 

。 应 用 程序 可 用 不 同 的 程序 设计 语言 编写 ,它们 可 以 访问 同一 个 数据 库 。 

(3) 数据 的 结构 化 

基于 文件 的 数据 的 主要 优势 就 在 于 它 利 用 了 数据 结构 。 数 据 库 中 的 文件 相互 联系 ,并 
在 整体 上 服从 一 定 的 结构 形式 。 数 据 库 具有 复杂 的 结构 ,不 仅 是 因为 它 拥 有 大 量 的 数据 , 同 
时 也 因为 在 数据 之 间 和 文件 之 间 存 在 着 种 种 联系 。 数 据 库 的 结构 使 开发 者 避免 了 针对 每 一 
个 应 用 都 需要 重新 定义 数据 逻辑 关系 的 过 程 。 

(4) 数据 的 独立 性 

数据 的 独立 性 就 是 数据 与 应 用 程序 之 间 不 存在 相互 依赖 关系 ,也 就 是 数据 的 逻辑 结构 、 
存储 结构 和 存 取 方 法 等 不 因应 用 程序 的 修改 而 改变 ,反之 亦 然 。 从 某 种 意义 上 讲 , 一 个 
DBMS 存在 的 理由 就 是 为 了 在 数据 组 织 和 用 户 的 应 用 之 间 提 供 某 种 程度 的 独立 性 。 数 据 
库 系 统 的 数据 独立 性 可 分 为 物理 独立 性 和 逮 辑 独立 性 两 方面 。 

。 物理 独立 性 。 数 据 库 的 物理 结构 变化 不 影响 数据 库 的 应 用 结构 ,从 而 也 就 不 影响 其 

相应 的 应 用 程序 。 这 里 的 物理 结构 是 指数 据 库 的 物理 位 置物 理 设备 等 。 

。 人 逻辑 独立 性 。 数 据 库 逻辑 结构 的 变化 不 影响 用 户 的 应 用 程序 ,数据 类 型 的 修改 或 增 

加 、 改 变 各 表 之 间 的 联系 等 都 不 会 导致 应 用 程序 的 修改 。 

以 上 两 种 数据 独立 性 都 要 依靠 DBMS 来 实现 。 到 目前 为 止 ,物理 独立 性 已 经 实现 ,但 
逻辑 独立 性 实现 起 来 非常 困难 。 因 为 数据 结构 一 旦 发 生变 化 ,一般 情 况 下 ,相应 的 应 用 程序 
都 要 进行 或 多 或 少 的 修改 。 

(5) 其 他 安全 功能 

DBMS 除了 具有 一 些 基 本 的 数据 库 管 理 功 能 外 ,在 安全 性 方面 , 它 还 具有 以 下 功能 : 

。 保证 数据 的 完整 性 ,抵御 一 定 程度 的 物理 破坏 ,能 维护 和 提交 数据 库 内 容 。 

。 实施 并 发 控制 ,避免 数据 的 不 一 致 性 。 

。 数据 库 的 数据 备份 与 数据 恢复 。 

。 能 识别 用 户 ,分配 授 权 和 进行 访问 控制 ,包括 用 户 的 身份 识别 和 验证 。 
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3. 数据 库 事务 


“事务 "是 数据 库 中 的 一 个 重要 概念 ,是 一 系列 操作 过 程 的 集合 ,也 是 数据 库 数 据 操作 的 
并 发 控制 单位 。 一 个 “事务 "就 是 一 次 活动 所 引起 的 一 系列 的 数据 库 操作 。 例 如 ,一 个 会 计 
“事务 "可 能 由 读 取 借 方 数据 \ 减 去 借方 记录 中 的 借款 数量 、 重 写 借方 记录 , 读 取 贷 方 记录 ,在 
贷方 记录 上 的 数量 加 上 从 借方 扣除 的 数量 、 重 写 贷方 记录 , 写 一 条 单独 的 记录 来 描述 这 次 操 
作 以 便 日 后 审计 等 操作 组 成 。 所 有 这 些 操作 组 成 了 一 个 “事务 ”, 描 述 了 一 个 业务 动作 。 无 
论 借方 的 动作 还 是 贷方 的 动作 , 哪 一 个 没有 被 执行 ,数据 库 都 不 会 反映 该 业务 执行 的 正 
确 性 。 

DBMS 在 数据 库 操作 时 进行 “事务 "定义 ,要 么 一 个 “事务 "应 用 的 全 部 操作 结果 都 反映 
在 数据 库 中 (全 部 完成 ) ,要 么 就 一 点 都 没有 反映 在 数据 库 中 (全 部 撤除 ) ,数据 库 回 到 该 次 事 
务 操作 的 初始 状态 。 这 就 是 说 ,一 个 数据 库 “ 事 务 ” 序 列 中 的 所 有 操作 只 有 两 种 结果 之 一 , 即 
全 部 执行 或 全 部 撤除 。 

上 述 会 计 * 事 务 " 例 子 包 含 了 两 个 数据 库 操作 : 从 借方 数据 中 扣除 资金 和 在 贷方 记录 中 
加 入 这 部 分 资金 。 如 果 系 统 在 执行 该 事务 的 过 程 中 崩溃 ,而 此 时 借方 数据 已 修改 完毕 ,但 
还 没有 修改 贷方 数据 ,资金 就 会 在 此 时 物化 。 如 果 把 这 两 个 步骤 合并 成 一 个 事务 命令 ,这样 
在 数据 库 系统 执行 时 ,要 么 全 部 完成 ,要 么 一 点 都 不 进行 。 当 只 完成 一 部 分 时 ,系统 是 不 会 
对 已 做 的 操作 予以 响应 的 。 因 此 ,事务 "是 不 可 分 割 的 单位 。 


413 数据库 系统 的 缺陷 和 威胁 


大 多 数 企 业 、 组 织 以 及 政府 部 门 的 电子 数据 都 保存 在 各 种 数据 库 中 。 他 们 用 这 些 数 据 
库 保 存 一 些 敏 感 信息 ,比如 员工 薪水 、 医 疗 记录 、 员 工 个 人 资料 等 。 数 据 库 服务 器 还 掌握 着 
敏感 的 金融 数据 ,包括 交易 记录 、 商 业 事 务 和 账号 数据 ,战略 上 的 或 者 专业 的 信息 ,如 专利 和 
工程 数据 ,甚至 市 场 计划 等 应 该 保护 起 来 防止 竞争 者 和 其 他 非法 者 获取 的 资料 。 


1. 数据 库 系 统 缺 陷 


常见 的 数据 库 的 安全 漏洞 和 缺陷 有 以 下 几 种 : 

。 数据 库 应 用 程序 通常 都 同 操作 系统 的 最 高 管理 员 密 切 相 关 。 如 Oracle Sybase 和 
SQL Server 数据 库 系统 都 涉及 用 户 账号 和 密码 ,认证 系统 、 授 权 模 块 和 数据 对 象 的 
许可 控制 ,内功 命 令 ( 存 储 过 程 ) 特定 的 脚本 和 程序 语言 .中 间 件 、 网 络 协议 .补丁 和 
服务 包 、 数 据 库 管理 和 开发 工具 等 。 许多 DBA( 数 据 库 系 统管 理 员 ) 都 把 全 部 精力 
投入 到 管理 这 些 复杂 的 系统 中 。 安 全 漏洞 和 不 当 的 配置 通常 会 造成 严重 的 后 果 , 且 
都 难以 发 现 。 

人 们 对 数据 库 安全 的 忽视 。 人 们 认为 只 要 把 网 络 和 操作 系统 的 安全 搞 好 了 .所 有 的 
应 用 程序 也 就 安全 了 。 现 在 的 数据 库 系统 都 有 很 多 方面 被 误 用 或 者 漏洞 影响 到 安 
全 。 而 且 常 用 的 关系 型 数据 库 都 是 “端口 ?型 的 ,这 就 表示 任何 人 都 能 够 绕 过 操作 系 
统 的 安全 机 制 ,利用 分 析 工 具 试图 连接 到 数据 库 上 。 

。 部 分 数据 库 机 制 威胁 网 络 低层 安全 。 如 某 公司 的 数据 库 里 面 保存 着 所 有 技术 文档 、 


第 4 章 ”网 络 数据 库 与 数据 安全 


109 


手册 和 白皮书 ,但 却 不 重视 数据 库 的 安全 ,这 样 ,即使 运行 在 一 个 非常 安全 的 操作 系 
统 上 ,入 侵 者 也 很 容易 通过 数据 库 获 得 操作 系统 权限 。 这 些 存储 过 程 能 提供 一 些 执 
行 操 作 系统 命令 的 接口 ,而 且 能 访问 所 有 的 系统 资源 ,如 果 该 数据 库 服务 器 还 同 其 
他 服务 器 建立 着 信任 关系 ,那么 ,入 侵 者 就 能 够 对 整个 域 产生 严重 的 安全 威胁 。 
此 ,少数 数据 库 安全 漏洞 不 仅 威胁 数据 库 的 安全 ,也 威胁 到 操作 系统 和 其 他 可 信任 
系统 的 安全 。 

安全 特性 缺陷 。 大 多 数 关系 型 数据 库 已 经 存在 十 多 年 了 ,都 是 成 熟 的 产品 。 但 IT 
业界 和 安全 专家 对 网 络 和 操作 系统 要 求 的 许多 安全 特性 在 多 数 关系 数据 库 上 还 没 
有 被 使 用 。 

数据 库 账 号 密码 容易 泄露 。 多 数 数据 库 提供 的 基本 安全 特性 ,都 没有 相应 机 制 来 限 
制 用 户 必须 选择 健壮 的 密码 。 许 多 系统 密码 都 能 给 入 侵 者 完全 访问 数据 库 的 机 会 ， 
更 有 甚 者 ,有 些 密码 就 存储 在 操作 系统 的 普通 文本 文件 中 。 比 如 Oracle 内 部 密码 ， 
存储 在 strxxx. cmd 文件 中 ,其 中 xxx 是 Oracle 系统 ID 和 SID 号 。 该 密码 用 于 数 
据 库 启 动 进程 ,提供 完全 访问 数据 库 资源 功能 ,该 文件 在 Windows NT 中 需要 设置 
权限 。Oracle 监听 进程 密码 保存 在 文件 “listener. ora” 中 ,入 侵 者 可 以 通过 这 个 弱点 
进行 DoS 攻击 。 

操作 系统 后 门 。 多 数 数据 库 系统 都 有 一 些 特性 ,来 满足 数据 库 管 理 员 的 需要 ,这 些 
也 成 为 数据 库 主 机 操作 系统 的 后 门 。 

木马 的 威胁 。 著 名 的 木马 能 够 在 密码 改变 存储 过 程 时 修改 密码 ,并 能 告知 入侵 者 。 
比如 ,可 以 添加 几 行 信息 到 sp_password 中 ,将 新 账号 记录 到 库 表 中 ,通过 E-mail 发 
送 这 个 密码 ,或 者 写 到 文件 中 以 后 使 用 等 。 


2. 数据 库 系 统 的 威胁 形式 


对 数据 库 构 成 的 威胁 主要 有 算 改 .损坏 和 窃取 三 种 表现 形式 。 

(1) 算 改 

所 谓 算 改 ,是 指 对 数据 库 中 的 数据 未 经 授权 进行 的 修改 .使 其 失去 原来 的 真实 性 。 自 改 
的 形式 具有 多 样 性 ,但 有 一 点 是 明确 的 ,就 是 在 造成 影响 之 前 很 难 发 现 它 。 算 改 是 由 于 人 为 
因素 而 产生 的 。 一 般 来 说 ,发 生 这 种 人 为 威胁 的 原因 主要 有 个 人 利益 驱动 .隐藏 证 据 、 恶 作 
剧 和 无 知 等 。 

(2) 损坏 

网 络 系统 中 数据 的 损坏 是 数据 库 安 全 性 所 面临 的 一 个 威胁 。 其 表现 形式 是 : 表 和 整个 
数据 库 部 分 或 全 部 被 删除 \ 移 走 或 破坏 。 产 生 这 种 威胁 的 原因 主要 有 破坏 、 恶 作 剧 和 病毒 。 
破坏 往往 都 带 有 明确 的 作案 动机 ,恶作剧 者 往往 是 出 于 爱好 或 好 奇 而 给 数据 造成 损坏 ,计算 
机 病毒 不 仅 对 系统 文件 进行 破坏 ,也 对 数据 文件 进行 破坏 。 

(3) 窃取 

窃取 一 般 是 对 敏感 数据 进行 的 。 窃 取 的 手法 除了 将 数据 复制 到 软盘 之 类 的 可 移动 介质 
上 外 ,也 可 以 把 数据 打印 后 取 走 。 导 致 窃取 威胁 的 因素 有 工商 业 间 谍 、 不 满 和 要 离开 的 员 
工 、 被 窃 的 数据 可 能 比 想象 中 的 更 有 价值 等 。 
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3. 数据 库 系统 的 威胁 来 源 


数据 库 安全 的 威胁 主要 来 自 以 下 几 个 方面 : 
。 物理 和 环境 的 因素 。 如 物理 设备 的 损坏 ,设备 的 机 械 和 电气 故障 ,火灾 、 水 灾 , 以 及 
丢失 磁盘 磁带 等 。 
事务 内 部 故障 。 数 据 库 事务 是 数据 操作 的 并 发 控制 单位 ,是 一 个 不 可 分 割 的 操作 
序列 。 数 据 库 事务 内 部 的 故障 多 发 生 于 数据 的 不 一 致 性 ,主要 表现 有 : 丢失 修改 、 
不 能 重复 读 .无 用 数据 的 读 出 。 
系统 故障 。 系 统 故障 又 叫 软 故障 ,是 指 系统 突然 停止 运行 时 造成 的 数据 库 故 障 。 这 
些 故 障 不 破坏 数据 库 , 但 影响 正在 运行 的 所 有 事务 ,因为 缓冲 区 中 的 内 容 会 全 部 丢 
失 ,运行 的 事务 非 正常 终止 ,从 而 造成 数据 库 处 于 一 种 不 正确 的 状态 。 
介质 故障 。 介 质 故 障 又 称 硬 故 障 , 主 要 指 外 存储 器 故障 。 如 磁盘 磁头 碰撞 ,瞬时 的 
强 磁场 干扰 等 。 这 类 故障 会 破坏 数据 库 或 部 分 数据 库 , 并 影响 正在 使 用 数据 库 的 所 
有 事务 。 
并 发 事件 。 在 数据 库 实现 多 用 户 共享 数据 时 ,可 能 由 于 多 个 用 户 同时 对 一 组 数据 的 
不 同 访问 而 使 数据 出 现 不 一 致 现象 。 
人 为 破坏 。 某 些 人 为 了 某 种 目的 ,故意 破坏 数据 库 。 
病毒 与 黑客 。 病 毒 可 破坏 计算 机 中 的 数据 ,使 计算 机 处 于 不 正确 或 瘫痪 状态 ; 黑客 
是 一 些 精通 计算 机 网 络 和 软 、 硬 件 的 计算 机 操作 者 ,他 们 往往 利用 非法 手段 取得 相 
关 授权 ,非法 地 读 取 甚至 修改 其 他 计算 机 数据 。 黑 客 的 攻击 和 系统 病毒 发 作 可 造成 
对 数据 保密 性 和 数据 完整 性 的 破坏 。 

此 外 ,数据 库 系 统 威胁 还 有 未 经 授权 非法 访问 或 非法 修改 数据 库 的 信息 ,窃取 数据 库 数 
据 或 使 数据 失去 真实 性 ; 对 数据 不 正确 的 访问 ,引起 数据 库 中 数据 的 错误 ; 网 络 及 数据 库 
的 安全 级 别 不 能 满足 应 用 的 要 求 ; 网 络 和 数据 库 的 设置 错误 和 管理 混乱 造成 越权 访问 和 越 
权 使 用 数据 。 


42 网 络 数据 库 的 安全 特性 


为 了 保证 数据 库 数 据 的 安全 可 靠 和 正确 有 效 ,DBMS 必须 提供 统一 的 数据 保护 功能 。 
数据 保护 也 称 为 数据 控制 ,主要 包括 数据 库 的 安全 性 、 完 整 性 、 并 发 控制 和 人 恢复。 下面 以 多 
用 户 数 据 库 系 统 Oracle 为 例 ,阐述 数据 库 的 安全 特性 。 


421 数据 库 的 安全 性 
数据 库 安全 性 是 指 保护 数据 库 以 防止 不 合法 的 使 用 所 造成 的 数据 泄露 更改 或 破坏 。 


在 数据 库 系统 中 有 大 量 的 计算 机 系统 数据 集中 存放 ,为 许多 用 户 所 共享 ,这 样 就 使 安全 问题 
更 为 突出 。 在 一 般 的 计算 机 系统 中 ,安全 措施 是 逐 级 设置 的 。 
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1. 数据 库 的 存 取 控制 


数据 库 系 统 可 提供 数据 存 取 控制 ,来 实施 数据 保护 。 

(1) 数据 库 的 安全 机 制 

多 用 户 数据 库 系 统 ( 如 Oracle) 提 供 的 安全 机 制 可 做 到 以 下 几 点 : 

。 防止 非 授 权 的 数据 库存 取 。 

。 防止 非 授权 的 对 模式 对 象 的 存 取 。 

。 控制 磁盘 使 用 。 

。 控制 系统 资源 使 用 。 

。 审计 用 户 动作 。 

在 Oracle 服务 器 上 提供 了 一 种 任意 存 取 控 制 , 是 一 种 基于 特权 限制 信息 存 取 的 方法 。 
用 户 要 存 取 某 一 对 象 必须 有 相应 的 特权 授予 该 用 户 。 已 授权 的 用 户 可 任意 地 授权 给 其 他 
HP 

Oracle 保护 信息 的 方法 采用 任意 存 取 控制 来 控制 全 部 用 户 对 命名 对 象 的 存 取 。 用 户 
对 对 象 的 存 取 受 特权 控制 ,一 种 特权 是 存 取 一 个 命名 对 象 的 许可 ,为 一 种 规定 格式 。 

(2) 模式 和 用 户 机 制 

Oracle 使 用 多 种 不 同 的 机 制 管 理 数据 库 安 全 性 ,其 中 有 模式 和 用 户 两 种 机 制 。 
模式 机 制 : 模式 为 模式 对 象 的 集合 ,模式 对 象 如 表 、 视 图 、 过 程 和 包 等 。 
用 户 机 制 : 每 一 个 Oracle 数据 库 有 一 组 合法 的 用 户 , 可 运行 一 个 数据 库 应 用 和 使 用 
该 用 户 连接 到 定义 该 用 户 的 数据 库 。 当 建立 一 个 数据 库 用 户 时 ,对 该 用 户 建立 一 个 
相应 的 模式 ,模式 名 与 用 户 名 相同 。 一 旦 用 户 连接 一 个 数据 库 , 该 用 户 就 可 存 取 相 
应 模式 中 的 全 部 对 象 , 一 个 用 户 仅 与 同名 的 模式 相 联 系 ,所 以 用 户 和 模式 是 类 似 的 。 


2. 特权 和 角色 


1) 特权 

特权 是 执行 一 种 特殊 类 型 的 SQL 语句 或 存 取 另 一 用 户 对 象 的 权力 ,有 系统 特权 和 对 象 

特权 两 类 。 

。 系统 特权 : 系统 特权 是 执行 一 种 特殊 动作 或 者 在 对 象 类 型 上 执行 一 种 特殊 动作 的 
权力 。 系 统 特权 可 授权 给 用 户 或 角色 。 系 统 可 将 授予 用 户 的 系统 特权 授 给 其 他 用 
户 或 角色 ,同样 ,系统 也 可 从 那些 被 授权 的 用 户 或 角色 处 收回 系统 特权 。 

。 对 象 特权 : 对 象 特 权 是 指 在 表 、 视 图 、 序 列 、 过 程 、 函 数 或 包 上 执行 特殊 动作 的 权力 。 
对 于 不 同类 型 的 对 象 ,有 不 同类 型 的 对 象 特权 。 

2) 角色 

角色 是 相关 特权 的 命名 组 。 数 据 库 系统 利用 角色 可 更 容易 地 进行 特权 管理 。 

(1) 角色 管理 的 优点 

。 减少 特权 管理 。 

。 动态 特权 管理 。 

。 特权 的 选择 可 用 性 。 

。 应 用 可 知性 。 
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。 专门 的 应 用 安全 性 。 

一 般 ,建立 角色 有 两 个 目的 : 一 是 为 数据 库 应 用 管理 特权 ; 二 是 为 用 户 组 管理 特权 , 相 
应 的 角色 分 别称 为 应 用 角色 和 用 户 角色 。 

应 用 角色 是 系统 授予 的 运行 一 组 数据 库 应 用 所 需 的 全 部 特权 。 一 个 应 用 角色 可 授 给 其 
他 角色 或 指定 用 户 。 一 个 应 用 可 有 几 种 不 同 角色 ,具有 不 同 特权 组 的 每 一 个 角色 在 使 用 应 
用 时 可 进行 不 同 的 数据 存 取 。 

用 户 角 色 是 为 具有 公开 特权 需求 的 一 组 数据 库 用 户 而 建立 的 。 

(2) 数据 库 角 色 的 功能 

。 一 个 角色 可 被 授予 系统 特权 或 对 象 特 权 。 

。 一 个 角色 可 授权 给 其 他 角色 ,但 不 能 循环 授权 。 

。 任何 角色 可 授权 给 任何 数据 库 用 户 。 
授权 给 一 个 用 户 的 每 一 角色 可 以 是 可 用 的 ,也 可 是 不 可 用 的 。 
。 一 个 间接 授权 角色 (授权 给 另 一 角色 的 角色 ) 对 一 个 用 户 可 明确 其 可 用 或 不 可 用 。 
。 在 一 个 数据 库 中 ,每 一 个 角色 名 是 唯一 的 。 


3. 审计 


审计 是 对 选 定 的 用 户 动 作 的 监控 和 记录 ,通常 用 于 审查 可 疑 的 活动 ,监视 和 收集 关于 指 
定数 据 库 活动 的 数据 。 

(1) Oracle 支持 的 三 种 审计 类 型 
语句 审计 : 语句 审计 是 指 对 某 种 类 型 的 SQL 语句 进行 的 审计 ,不 涉及 具体 对 象 。 这 
种 审计 既 可 对 系统 的 所 有 用 户 进行 ,也 可 对 部 分 用 户 进行 。 
特权 审计 : 特权 审计 是 指 对 执行 相应 动作 的 系统 特权 进行 的 审计 ,不 涉及 具体 对 
象 。 这 种 审计 也 是 既 可 对 系统 的 所 有 用 户 进行 ,也 可 对 部 分 用 户 进行 。 
对 象 审计 : 对 象 审计 是 指 对 特殊 模式 对 象 访问 情况 的 审计 ,不 涉及 具体 用 户 , 是 由 
监控 有 对 象 特 权 的 SQL 语句 进行 的 。 

(2) Oracle 允许 的 审计 选择 范围 

。 审计 语句 的 成 功 执 行 .不 成 功 执行 ,或 其 两 者 都 包括 。 

。 对 每 一 用 户 会 话 审计 语句 的 执行 审计 一 次 或 对 语句 的 每 次 执行 审计 一 次 。 

。 对 全 部 用 户 或 指定 用 户 活动 的 审计 。 

当 数 据 库 审计 是 可 能 时 ,在 语句 执行 阶段 产生 审计 记录 。 审 计 记 录 包 含有 审计 的 操作 、 
用 户 执行 的 操作 、 操 作 的 日 期 和 时 间 等 信息 。 审 计 记 录 可 存放 于 数据 字典 表 ( 称 为 审计 记 
录 ) 或 操作 系统 审计 记录 中 。 


422 数据 库 的 完整 性 


数据 库 的 完整 性 是 指 保护 数据 库 数据 的 正确 性 和 一 致 性 。 它 反映 了 现实 中 实体 的 本 来 
面貌 。 数 据 库 系统 要 提供 保护 数据 完整 性 的 功能 。 系 统 用 一 定 的 机 制 检 查 数据 库 中 的 数据 
是 否 满足 完整 性 约束 条 件 。Oracle 应 用 于 关系 型 数据 库 的 表 的 数据 完整 性 有 下 列 类 型 : 

。 空 与 非 空 规则 。 在 插入 或 修改 表 的 行 时 允许 或 不 允许 包含 有 空 值 的 列 。 
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。 唯一 列 值 规则 。 人 允许 插入 或 修改 表 的 行 在 该 列 上 的 值 唯一 。 

。 引 用 完整 性 规则 。 

。 用 户 对 定义 的 规则 。 

Oracle 允许 定义 和 实施 每 一 种 类 型 的 数据 完整 性 规则 ,如 空 与 非 空 规则 、 唯 一 列 值 规 
则 和 引用 完整 性 规则 等 ,这 些 规 则 可 用 完整 性 约束 和 数据 库 触发 器 来 定义 。 


1. 完整 性 约束 


(1) 完整 性 约束 条 件 

完整 性 约束 条 件 是 作为 模式 的 一 部 分 ,对 表 的 列 定义 的 一 些 规则 的 说 明 性 方法 。 具 有 
定义 数据 完整 性 约束 条 件 功 能 和 检查 数据 完整 性 约束 条 件 方法 的 数据 库 系统 可 实现 对 数据 
完整 性 的 约束 。 

完整 性 约束 有 数值 类 型 与 值 域 的 完整 性 约束 、 关 键 字 的 约束 、 数 据 联系 (结构 ) 的 约束 
等 。 这 些 约 束 都 是 在 稳定 状态 下 必须 满足 的 条 件 , 叫 静态 约束 。 相 应 地 还 有 动态 约束 ,就 是 
指数 据 库 中 的 数据 从 一 种 状态 变 为 男 一 种 状态 时 ,新 旧 数 值 之 间 的 约束 ,例如 更 新 人 的 年 龄 
时 ,新 值 不 能 小 于 旧 值 等 。 

(2) 完整 性 约束 的 优点 

利用 完整 性 约束 实施 数据 完整 性 规则 有 以 下 优点 : 
定义 或 更 改 表 时 ,不 需要 程序 设计 便 可 很 容易 地 编写 程序 并 可 消除 程序 性 错误 ,其 
功能 由 Oracle 控制 。 
对 表 所 定义 的 完整 性 约束 被 存储 在 数据 字典 中 ,所 以 由 任何 应 用 进入 的 数据 都 必须 
遵守 与 表 相 关联 的 完整 性 约束 。 
具有 最 大 的 开发 能 力 。 当 由 完整 性 约束 所 实施 的 事务 规则 改变 时 ,管理 员 只 需 改 变 
完整 性 约束 的 定义 ,所 有 应 用 自动 地 遵守 所 修改 的 约束 。 
完整 性 约束 存储 在 数据 字典 中 ,数据 库 应 用 可 利用 这 些 信息 ,在 SQL 语句 执行 之 前 
或 Oracle 检查 之 前 ,就 可 立即 反馈 信息 。 
。 完整 性 约束 说 明 的 语义 被 清楚 地 定义 ,对 于 每 一 指定 说 明 规则 可 实现 性 能 优化 。 
完整 性 约束 可 临时 地 使 其 不 可 用 ,使 之 在 装 入 大 量 数据 时 避免 约束 检索 的 开销 。 当 
数据 库 装 入 完成 时 ,完整 性 约束 可 容易 地 使 其 可 用 ,任何 破坏 完整 性 约束 的 新 记录 
可 在 另外 表 中 列 出 。 


2. 数据 库 触 发 器 


数据 库 触发 器 是 使 用 非 说 明 方 法 实施 的 数据 单元 操作 过 程 。 利 用 数据 库 触 发 器 可 定义 
和 实施 任何 类 型 的 完整 性 规则 。 

Oracle 允许 定义 过 程 , 当 对 相关 的 表 进 行 Insert、Update 或 Delete 语句 操作 时 ,这 些 过 
程 被 隐 式 地 执行 ,这 些 过 程 称 为 数据 库 触发 器 。 触 发 器 类 似 于 存储 过 程 ,可 包含 SQL 语句 
和 PL/SQL 语句 ,可 调用 其 他 的 存储 过 程 。 过 程 与 触发 器 的 差别 在 于 调用 方法 : 过 程 由 用 
户 或 应 用 显 式 地 执行 ; 而 触发 器 是 为 一 个 激发 语句 (Insert\Update、 Delete) 发 出 而 由 
Oracle 隐 式 地 触发 。 一 个 数据 库 应 用 可 隐 式 地 触发 存储 在 数据 库 中 的 多 个 触发 器 。 

一 个 触发 器 由 触发 事件 或 语句 、 触 发 限制 和 触发 器 动作 三 部 分 组 成 。 触 发 事件 或 语句 
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是 指引 起 激发 触发 器 的 SQL 语句 ,可 为 对 一 个 指定 表 的 Insert、Update 或 Delete 语句 。 触 
发 限制 是 指定 一 个 布尔 表达 式 , 当 触发 器 激发 时 该 表达 式 必 须 为 真 。 触 发 器 作为 过 程 ,是 
PL/SQL 块 , 当 触 发 语句 发 出 、 触 发 限制 计算 为 真 时 该 过 程 被 执行 。 

在 许多 情况 中 触发 器 补充 Oracle 的 标准 功能 ,提供 高 度 专用 的 数据 库 管理 系统 。 一 般 
触发 器 用 于 以 下 方面 : 

。 自动 地 生成 导出 列 值 。 

。 实施 复杂 的 安全 审核 。 
在 分 布 式 数据 库 中 实施 跨 节点 的 完整 性 引用 。 
实施 复杂 的 事务 规则 。 
提供 透明 的 事件 记录 。 
提供 高 级 的 审计 。 
收集 表 存 取 的 统计 信息 。 


423 数据 库 的 并 发 控制 


数据 库 是 一 种 共享 资源 库 , 可 为 多 个 应 用 程序 所 共享 。 在 许多 情况 下 ,由 于 应 用 程序 涉 
及 的 数据 量 很 大 ,常常 会 涉及 输入 /输出 的 交换 ,因此 可 能 有 多 个 程序 或 一 个 程序 的 多 个 进 
程 并 行 地 运行 ,这 就 是 数据 库 的 并 发 操作 。 

在 多 用 户 数据 库 环境 中 ,多 个 用 户 程序 可 并 行 地 存 取 数 据 库 。 并 发 控制 是 指 在 多 用 
户 的 环境 下 ,对 数据 库 的 并 行 操作 进行 规范 的 机 制 , 其 目的 是 为 了 避免 数据 的 丢失 修改 、 
无 效 数 据 的 读 出 与 不 可 重复 读数 据 等 ,从 而 保证 数据 的 正确 性 与 一 致 性 。 并 发 控制 在 多 用 
户 的 模式 下 是 十 分 重要 的 ,但 这 一 点 经 常 被 一 些 数据 库 应 用 人 员 忽 视 , 而 且 因 为 并 发 控制 的 
层次 和 类 型 非常 丰富 和 复杂 ,有 时 使 人 在 选择 时 比较 迷惑 ,不 清楚 衡量 并 发 控制 的 原则 和 


1. 一 致 性 和 实时 性 


一 致 性 的 数据 库 就 是 指 并 发 数据 处 理 响 应 过 程 已 完成 的 数据 库 。 例 如 ,一 个 会 计数 据 
库 , 当 它 的 记 入 借方 与 相应 的 贷方 记录 相 匹 配 的 情况 下 , 它 就 是 数据 一 致 的 。 

一 个 实时 的 数据 库 就 是 指 所 有 的 事务 全 部 执行 完毕 后 才 响 应 。 如 果 一 个 正在 运行 数据 
库 管 理 的 系统 出 现 了 故障 而 不 能 继续 进行 数据 处 理 , 原 来 事务 的 处 理 结果 还 存在 缓存 中 而 
没有 写 入 到 磁盘 文件 中 , 当 系 统 重新 启动 时 ,系统 数据 就 是 非 实时 性 的 。 

数据 库 日 志 被 用 来 在 故障 发 生 后 恢复 数据 库 时 可 保证 数据 库 的 一 致 性 和 实时 性 。 


2. 数据 的 不 一 致 现象 


事务 并 发 控制 不 当 , 可 能 产生 丢失 修改 . 读 无 效 数据 ,不 可 重复 读 等 数据 不 一 致 现象 。 

(1) 丢失 修改 

丢失 数据 是 指 一 个 事务 的 修改 覆盖 了 另 一 个 事务 的 修改 ,使 前 一 个 修改 丢失 。 比 如 两 
个 事务 Tl 和 T2 读 入 同一 数据 ,T2 提交 的 结果 破坏 了 T1 提交 的 数据 ,使 Tl 对 数据 库 的 
修改 丢失 ,造成 数据 库 中 的 数据 错误 。 
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(2) 无 效 数据 的 读 出 

无 效 数据 的 读 出 是 指 不 正确 数据 的 读 出 。 比 如 事务 T1 将 某 一 值 修改 ,然后 事务 T2 读 
该 值 ,此 后 Tl 由 于 某 种 原因 撤销 对 该 值 的 修改 ,这 样 就 造成 T2 读 取 的 数据 是 无 效 的 。 

(3) 不 可 重复 读 

在 一 个 事务 范围 内 ,两 个 相同 的 查询 却 返 回 了 不 同 数据 ,这 是 由 于 查询 时 系统 中 其 他 事 
务 修改 的 提交 而 引起 。 比 如 事务 T1 读 取 某 一 数据 ,事务 T2 读 取 并 修改 了 该 数据 ,Tl 为 了 
对 读 取 值 进行 检验 而 再 次 读 取 该 数据 , 便 得 到 了 不 同 的 结果 。 

但 在 应 用 中 为 了 并 发 度 的 提高 ,可 以 容忍 一 些 不 一 致 现象 。 例 如 ,大 多 数 业务 经 适当 的 
调整 后 可 以 容忍 不 可 重复 读 的。 当今 流行 的 关系 数据 库 系统 (如 Oracle、SQL Server 等 ) 是 
通过 事务 隔离 与 封锁 机 制 来 定义 并 发 控制 所 要 达到 的 目标 的 ,根据 其 提供 的 协议 ,可 以 得 到 
几乎 任何 类 型 的 合理 的 并 发 控制 方式 。 

并 发 控制 数据 库 中 的 数据 资源 必须 具有 共享 属性 。 为 了 充分 利用 数据 库 资 源 , 应 允许 
多 个 用 户 并 行 操作 数据 库 。 数 据 库 必须 能 对 这 种 并 行 操作 进行 控制 ,以 保证 数据 被 不 同 的 
用 户 使 用 时 的 一 致 性 。 


3. 并 发 控制 的 实现 


并 发 控制 的 实现 途径 有 多 种 ,如 果 DBMS 支持 ,当然 最 好 是 运用 其 自身 的 并 发 控制 能 
力 。 如 果 系 统 不 能 提供 这 样 的 功能 ,可 以 借助 开发 工具 的 支持 ,还 可 以 考虑 调整 数据 库 应 用 
程序 。 

并 发 控制 能 力 是 指 多 用 户 在 同一 时 间 对 相同 数据 同时 访问 的 能 力 。 一 般 的 关系 型 数据 
库 都 具有 并 发 控制 能 力 , 但 是 这 种 并 发 功能 也 会 对 数据 的 一 致 性 带 来 危险 。 试 想 , 若 有 两 个 
用 户 都 试图 访问 某 个 银行 用 户 的 记录 ,并 同时 要 求 修改 该 用 户 的 存款 余额 时 ,情况 将 会 怎 
样 呢 ? 


424 数据 库 的 恢复 


当 人 们 使 用 数据 库 时 ,总 希望 数据 库 的 内 容 是 可 靠 的 .正确 的 ,但 由 于 计算 机 系统 的 故 
障 (硬件 故障 、 软 件 故 障 、 网 络 故障 、 进 程 故 障 和 系统 故障 等 ) 影 响 数 据 库 系统 的 操作 ,影响 数 
据 库 中 数据 的 正确 性 ,甚至 破坏 数据 库 ,使 数据 库 中 全 部 或 部 分 数据 丢失 。 因 此 当 发 生 上 述 
故障 后 ,希望 能 尽快 恢复 到 原 数 据 库 状态 或 重新 建立 一 个 完整 的 数据 库 , 该 处 理 称 为 数据 库 
恢复 。 数 据 库 恢 复 子 系统 是 数据 库 管理 系统 的 一 个 重要 组 成 部 分 。 具 体 的 恢复 处 理 因 所 发 
生 的 故障 类 型 所 影响 的 情况 和 结果 而 变化 。 


1. 操作 系统 备份 


不 管 为 Oracle 数据 库 设 计 成 什么 样 的 恢复 模式 ,数据 库 数据 文件 .日 志文 件 和 控制 文 
件 的 操作 系统 备份 都 是 绝对 需要 的 , 它 是 保护 介质 故障 的 策略 。 操 作 系 统 备 份 分 为 完全 备 
份 和 部 分 备份 。 

(1) 完全 备份 

一 个 完全 备份 将 构成 Oracle 数据 库 的 全 部 数据 库 文件 、 在 线 日 志文 件 和 控制 文件 的 一 
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个 操作 系统 备份 。 一 个 完全 备份 在 数据 库 正 常 关闭 之 后 进行 ,不 能 在 实例 故障 后 进行 。 此 
时 ,所 有 构成 数据 库 的 全 部 文件 是 关闭 的 ,并 与 当前 状态 相 一 致 。 在 数据 库 打 开 时 不 能 进行 
完全 备份 。 由 完全 备份 得 到 的 数据 文件 在 任何 类 型 的 介质 恢复 模式 中 都 是 有 用 的 。 

(2) 部 分 备份 

部 分 备份 是 除 完全 备份 外 的 任何 操作 系统 备份 ,可 在 数据 库 打开 或 关闭 状态 下 进行 。 
如 单个 表 空间 中 全 部 数据 文件 的 备份 单个 数据 文件 的 备份 和 控制 文件 的 备份 。 部 分 备份 
仅 对 在 归档 日 志方 式 下 运行 数据 库 有 用 ,数据 文件 可 由 部 分 备份 恢复 ,在 恢复 过 程 中 与 数据 
库 其 他 部 分 一 致 

通过 正规 备份 ,并且 快速 地 将 备份 介质 运送 到 安全 的 地 方 ,数据 库 就 能 够 在 大 多 数 的 灾 
难 中 得 到 恢复 。 由 于 不 可 预知 的 物理 灾难 ,一 个 完全 的 数据 库 恢 复 ( 重 应 用 日 志 ) 可 以 使 数 
据 库 映 像 恢 复 到 尽 可 能 接近 灾难 发 生 的 时 间 点 的 状态 。 对 于 逻辑 灾难 ,如 人 为 破坏 或 应 用 
故障 ,数据 库 映像 应 该 恢复 到 错误 发 生前 的 那 一 点 。 

在 一 个 数据 库 的 完全 恢复 过 程 中 ,基点 后 所 有 日 志 中 的 事务 被 重新 应 用 ,所 以 结果 就 是 
一 个 数据 库 映像 反映 所 有 在 灾难 前 已 接受 的 事务 ,而 没有 被 接受 的 事务 则 不 被 反映 。 数 据 
库 恢复 可 以 恢复 到 错误 发 生前 的 最 后 一 个 时 刻 。 


2. 介质 故障 的 恢复 


介质 故障 是 当 一 个 文件 .文件 的 一 部 分 或 一 块 磁盘 不 能 读 或 不 能 写 时 出 现 的 故障 。 介 
质 故 障 的 恢复 有 以 下 两 种 形式 ,决定 于 数据 库 运 行 的 归档 方式 : 
。 如 果 数据 库 是 可 运行 的 ,以 致 它 的 在 线 日 志 仅 可 重用 但 不 能 归档 ,此 时 介质 恢复 可 
使 用 完全 备份 的 简单 恢复 。 
。 如 果 数据 库 可 运行 且 其 在 线 日 志 是 可 归档 的 ,该 介质 故障 的 恢复 是 一 个 实际 恢复 过 
程 , 重 构 受 损 的 数据 库 ,恢复 到 介质 故障 前 的 一 个 指定 事务 状态 。 
不 管 哪 种 方式 ,介质 故障 的 恢复 总 是 将 整个 数据 库 恢复 到 故障 前 的 一 个 事务 状态 。 


43 网 络 数 据 库 的 安全 保护 
目前 ,计算 机 大 批量 数据 存储 的 安全 问题 .敏感 数据 的 防 窃取 和 防臭 改 问题 越 来 越 引起 


人 们 的 重视 。 数 据 库 系统 作为 计算 机 信息 系统 的 核心 部 件 ,数据 库 文 件 作 为 信息 的 聚集 体 ， 
其 安全 性 是 非常 重要 的 。 因 此 对 数据 库 数 据 和 文件 进行 安全 保护 是 非常 必要 的 。 


431 数据 库 的 安全 保护 层次 


数据 库 系 统 的 安全 除 依赖 自身 内 部 的 安全 机 制 外 ,还 与 外 部 网 络 环 境 、 应 用 环境 、 从 
业 人 员 素 质 等 因素 有 关 , 因 此 ,从 广义 上 讲 , 数 据 库 系统 的 安全 框架 可 划分 为 网 络 系统 、 
操作 系统 和 数据 库 管 理 系 统 三 个 层次 。 这 三 个 层次 构筑 成 数据 库 系 统 的 安全 体系 ,与 数 
据 库 安全 的 关系 是 逐步 紧密 的 ,防范 的 重要 性 也 逐 层 加 强 , 从 外 到 内 、 由 表 及 里 保证 数据 
的 安全 。 
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1. 网 络 系统 层次 安全 


从 广义 上 讲 , 数 据 库 的 安全 首先 依赖 于 网 络 系统 。 随 着 Internet 的 发 展 和 普及 , 越 来 越 
多 的 公司 将 其 核心 业务 向 互联 网 转移 ,各 种 基于 网 络 的 数据 库 应 用 系统 纷纷 涌现 出 来 ,面向 
网 络 用 户 提供 各 种 信息 服务 。 可 以 说 ,网 络 系统 是 数据 库 应 用 的 外 部 环境 和 基础 ,数据 库 系 
统 要 发 挥 其 强大 的 作用 离 不 开 网 络 系统 的 支持 ,数据 库 系 统 的 用 户 ( 如 异地 用 户 、 分 布 式 用 
户 ) 也 要 通过 网 络 才能 访问 数据 库 的 数据 。 网 络 系统 的 安全 是 数据 库 安 全 的 第 一 道 屏 障 ,外 
部 人 侵 首先 就 是 从 人 侵 网 络 系统 开始 的 。 

网 络 系统 开放 式 环境 面临 的 威胁 主要 有 欺骗 (Masquerade) 、 重 发 (Replay)、 报 文 修改 、 
拒绝 服务 (DoS) ,陷阱 门 (Trapdoor) 特洛伊 木马 (Trojan horse) 应 用 软件 攻击 等 。 这 些 安 
全 威胁 是 无 时 无 处 不 在 的 ,因此 必须 采取 有 效 的 措施 来 保障 系统 的 安全 。 


2. 操作 系统 层次 安全 


操作 系统 是 大 型 数据 库 系统 的 运行 平台 ,为 数据 库 系统 提供 了 一 定 程 度 的 安全 保护 。 
目前 操作 系统 平台 大 多 为 Windows 系列 、Linux 和 UNIX。 主 要 安全 技术 有 访问 控制 安全 
策略 、 系 统 漏洞 分 析 与 防范 、 操 作 系 统 安全 管理 等 。 

访问 控制 安全 策略 用 于 配置 本 地 计算 机 的 安全 设置 ,包括 密码 策略 、 账 户 策略 、 审 核 策 
咯 \IP 安全 策略 、 用 户 权 限 分 配 .资源 属性 设置 等 。 具 体 可 以 体现 在 用 户 账户 \ 口 令 , 访 问 权 
限 、 审 计 等 方面 。 


3. 数据 库 管理 系统 层次 安全 


数据 库 系统 的 安全 性 很 大 程度 上 依赖 于 数据 库 管 理 系统 。 如 果 数 据 库 管理 系统 的 安全 
性 机 制 非常 完善 , 则 数据 库 系统 的 安全 性 能 就 好 。 目 前 市 场 上 流行 的 是 关系 型 数据 库 管 理 
系统 ,其 安全 性 不 十 分 完善 ,这 就 导致 数据 库 系统 的 安全 性 存在 一 定 的 威胁 。 

由 于 数据 库 系 统 在 操作 系统 下 都 是 以 文件 形式 进行 管理 的 ,因此 入 侵 者 可 以 直接 利用 
操作 系统 漏洞 窃取 数据 库 文件 ,或 直接 利用 操作 系统 工具 非法 伪造 、 自 改 数据 库 文件 内 容 。 

数据 库 管 理 系统 层次 安全 技术 主要 用 来 解决 这 些 问 题 , 即 当前 面 两 个 层次 已 经 被 突破 
的 情况 下 仍 能 保障 数据 库 数据 的 安全 ,这 就 要 求 数据 库 管 理 系统 必须 有 一 套 强 有 力 的 安全 
机 制 。 采取 对 数据 库 文件 进行 加 密 处 理 是 解决 该 层次 安全 的 有 效 方法 。 因 此 ,即使 数据 不 
幸 泄露 或 者 丢失 ,也 难以 被 人 破译 和 阅读 。 


432 数据 库 的 审计 


对 于 数据 库 系统 ,数据 的 使 用 .记录 和 审计 是 同时 进行 的 。 审 计 的 主要 任务 是 对 应 用 程 
序 或 用 户 使 用 数据 库 资 源 的 情况 进行 记录 和 审查 ,一 旦 出 现 问题 ,审计 人 员 对 审计 事件 记录 
进行 分 析 , 查 出 原因 。 因 此 ,数据 库 审计 可 作为 保证 数据 库 安全 的 一 种 补救 措施 。 

安全 系统 的 审计 过 程 是 记录 ,检查 和 回顾 系统 安全 相关 行为 的 过 程 。 通 过 对 审计 记录 
的 分 析 , 可 以 明确 责任 个 体 ,追查 违反 安全 策略 的 违规 行为 。 审 计 过 程 不 可 省 略 ,审计 记录 
也 不 可 更 改 或 删除 。 
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由 于 审计 行为 将 影响 DBMS 的 存 取 速度 和 反馈 时 间 , 因 此 ,必须 综合 考虑 安全 性 与 系 
统 性 能 ,需要 提供 配置 审计 事件 的 机 制 ,以 允许 DBA 根据 具体 系统 的 安全 性 和 性 能 需求 做 
出 选择 。 这 些 可 由 多 种 方法 实现 ,如 扩充 、 打 开 / 关 闭 审 计 的 SQL 语句 ,或 使 用 审计 掩 码 等 。 
数据 库 审 计 有 用 户 审计 和 系统 审计 两 种 方式 。 
。 用 户 审计 : 进行 用 户 审计 时 ,DBMS 的 审计 系统 记录 下 所 有 对 表 和 视图 进行 访问 的 
企图 ,以 及 每 次 操作 的 用 户 名 、 时 间 、 操 作 代码 等 信息 。 这 些 信息 一 般 都 被 记录 在 数 
据 字 典 中 ,利用 这 些 信 息 可 进行 审计 分 析 。 
。 系统 审计 : 系统 审计 由 系统 管理 员 进 行 ,其 审计 内 容 主要 是 系统 一 级 命令 及 数据 库 
客体 的 使 用 情况 。 
数据 库 系统 的 审计 工作 主要 包括 设备 安全 审计 、 操 作 审 计 、 应 用 审计 和 攻击 审计 等 方 
面 。 设 备 安全 审计 主要 审查 系统 资源 的 安全 策略 、 安 全 保护 措施 和 故障 恢复 计划 等 ; 操作 
审计 可 对 系统 的 各 种 操作 进行 记录 和 分 析 ; 应 用 审计 可 审计 建立 于 数据 库 上 整个 应 用 系统 
的 功能 、 控 制 逻辑 和 数据 流 是 否 正确 ; 攻击 审计 可 对 已 发 生 的 攻击 性 操作 和 危害 系统 安全 
的 事件 进行 检查 和 审计 。 
为 了 真正 达到 审计 目的 ,必须 对 记录 了 数据 库 系 统 中 所 发 生 过 的 事件 的 审计 数据 提供 
查询 和 分 析 手 段 。 具 体 而 言 ,审计 分 析 要 解决 特权 用 户 的 身份 鉴别 .审计 数据 的 查询 .审计 
数据 的 格式 .审计 分 析 工具 的 开发 等 问题 。 


433 数据 库 的 加 密 保护 


大 型 DBMS 的 运行 平台 (如 Windows 和 UNIX) 一 般 都 具有 用 户 注册 .用户 识别 、 任 意 
存 取 控 制 (DAC) ,审计 等 安全 功能 。 虽 然 DBMS 在 操作 系统 的 基础 上 增加 了 不 少 安全 措 
施 , 但 操作 系统 和 DBMS 对 数据 库 文件 本 身 仍 然 缺 乏 有 效 的 保护 措施 。 有 经 验 的 黑客 也 会 
绕 过 一 些 防范 措施 ,直接 利用 操作 系统 工具 窃取 或 自 改 数据 库 文件 内 容 。 这 种 隐患 被 称 为 
通 向 DBMS 的 “隐秘 通道 ”, 它 所 带 来 的 危害 一 般 数据 库 用 户 难 以 察觉 。 

对 数据 库 中 存储 的 数据 实现 加 密 是 一 种 保护 数据 库 数 据 安全 的 有 效 方法 。 数 据 库 的 数 
据 加 密 一 般 是 在 通用 的 数据 库 管 理 系 统 之 上 ,增加 一 些 加 密 / 解 密 控件 来 完成 对 数据 本 身 的 
控制 。 与 一 般 通信 中 加 密 的 情况 不 同 , 数 据 库 的 数据 加 密 通常 不 是 对 数据 文件 加 密 , 而 是 对 
记录 的 字段 加 密 。 当 然 , 在 数据 备份 到 离线 的 介质 上 送 到 异地 保存 时 ,也 有 必要 对 整个 数据 
文件 加 密 。 有 关 数 据 加 密 的 内 容 将 在 第 5 章 介 绍 。 

实现 数据 库 加 密 以 后 ,各 用 户 ( 或 用 户 组 ) 的 数据 由 用 户 使 用 自己 的 密 钥 加 密 , 数 据 库 管 
理 员 对 获得 的 信息 无 法 随意 进行 解密 ,从 而 保证 了 用 户 信 息 的 安全 。 另 外 ,通过 加 密 , 数 据 
库 的 备份 内 容 成 为 密 文 , 从 而 能 减少 因 备份 介质 失窃 或 丢失 而 造成 的 损失 。 由 此 可 见 , 数 据 
库 加 密 对 于 企业 内 部 安全 管理 ,也 是 不 可 或 缺 的 。 

也 许 有 人 认为 ,对 数据 库 加 密 后 会 严重 影响 数据 库 系 统 的 效率 ,使 系统 不 堪 重 负 。 事实 
并 非 如 此 。 如 果 在 数据 库 客户 端 进行 数据 加 /解密 运算 ,对 数据 库 服务 器 的 负载 及 系统 运行 
几乎 没有 影响 。 比 如 ,在 普通 PC 上 用 纯 软件 实现 DES 加 密 算法 的 速度 超过 200KB/s, 如 
果 对 一 篇 一 万 个 汉字 的 文章 进行 加 密 , 其 加 /解密 时 间 仅 需 1/10 秒 , 这 种 时 间 延 迟 用 户 几 乎 
无 感觉 。 目 前 ,加 密 卡 的 加 /解密 速度 一 般 为 1Mbps, 对 中 小 型 数据 库 系统 来 说 ,这 个 速度 
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即使 在 服务 器 端 进行 数据 的 加 /解密 运算 也 是 可 行 的 ,因为 一 般 的 关系 型 数据 项 都 不 会 
太 长 。 


1. 数据 库 加 密 的 要 求 


一 个 良好 的 数据 库 加 密 系统 应 该 满足 以 下 基本 要 求 ， 

(1) 字段 加 密 

在 目前 条 件 下 ,加 /解密 是 对 每 个 记录 的 字段 数据 进行 的 。 如 果 以 文件 或 列 为 单位 进行 
加 密 ,必然 会 形成 密 钥 的 反复 使 用 ,从 而 降低 加 密 系统 的 可 靠 性 ,或 者 因 加 /解密 时 间 过 长 而 
无 法 使 用 。 只 有 以 记录 的 字段 数据 为 单位 进行 加 /解密 ,才能 适应 数据 库 操 作 , 同 时 进行 有 
效 的 密 钥 管理 并 完成 “一 次 一 密 钥 ”的 密码 操作 。 

(2) 密 钥 动态 管理 

数据 库 客 体 之 间 隐 含 着 复杂 的 逻辑 关系 ,一 个 多 辑 结构 可 能 对 应 着 多 个 数据 库 物 理 客 
体 ,所 以 数据 库 加 密 不 仅 密 钥 量 大 ,而 且 组 织 和 存储 工作 较 复杂 ,需要 对 密 钥 实行 动态 管理 。 

(3) 合理 处 理 数据 

合理 处 理 数据 包括 几 方 面 的 内 容 : 首先 要 恰当 地 处 理 数据 类 型 ,否则 DBMS 将 会 因 加 
密 后 的 数据 不 符合 定义 的 数据 类 型 而 拒绝 加 载 ; 其 次 ,需要 处 理 数据 的 存储 问题 ,实现 数据 
库 加 密 后 ,应 基本 上 不 增加 空间 开销 。 在 目前 条 件 下 ,数据 库 关系 运算 中 的 匹配 字段 (如 表 
间 连 接 码 .索引 字段 等 ) 数 据 不 宜 加 密 。 

(4) 不 影响 合法 用 户 的 操作 

要 求 加 密 系 统 对 数据 操作 响应 的 时 间 应 尽量 短 。 在 现 阶段 ,平均 延迟 时 间 不 应 超过 
1/10 秒 。 此 外 ,对 数据 库 的 合法 用 户 来 说 ,数据 的 录入 、 修 改 和 检索 操作 应 该 是 透明 的 ,不 
需要 考虑 数据 的 加 /解密 问题 。 


2. 不 同 层次 的 数据 库 加 密 


可 以 考虑 在 三 个 层次 上 实现 对 数据 库 数据 进行 加 密 , 这 三 个 层次 分 别 是 操作 系统 层 、 
DBMS 内 核 层 和 DBMS 外 层 。 

在 操作 系统 层 ,无 法 辨认 数据 库 文件 中 的 数据 关系 ,从 而 无 法 产生 合理 的 密 钥 ,也 无 法 
进行 合理 的 密 钥 管理 和 使 用 。 所 以 ,对 于 大 型 数据 库 来 说 ,目前 还 难以 实现 在 操作 系统 层 对 
数据 库 文件 进行 加 密 。 

在 DBMS 内 核 层 实现 加 密 , 是 指数 据 在 物理 存 取 之 前 完成 加 /解密 工作 。 这 种 方式 (如 
图 4. 1 所 示 ) 要 求 DBMS 和 加 密 器 (硬件 或 软件 ) 之 间 的 接口 需要 DBMS 开发 商 的 支持 。 这 
种 加 密 方式 的 优点 是 加 密 功能 强 , 且 加 密 几 乎 不 会 影响 DBMS 的 功能 ,可 以 实现 加 密 与 数 
据 库 管理 系统 之 间 的 无 颖 耦合 。 但 这 种 方式 的 缺点 是 在 服务 器 端 进行 加 /解密 运算 ,加重 了 
数据 库 服 务 器 的 负载 。 

比较 实际 的 做 法 是 将 数据 库 加 密 系 统 做 成 DBMS 的 一 个 外 层 工具 (如 图 4. 2 所 示 ) 。 
采用 这 种 加 密 方式 时 ,加 /解密 运算 可 以 放 在 客户 端 进行 ,其 优点 是 不 会 加 重 数 据 库 服务 器 
的 负载 并 可 实现 网 上 传输 加 密 ,缺点 是 加 密 功 能 会 受到 一 些 限 制 ,与 数据 库 管理 系统 之 间 的 
耦合 性 稍 差 。 图 4. 2 中 “加 密 定义 工具 ?模块 的 主要 功能 是 定义 如 何 对 每 个 数据 库 表 数据 进 
行 加 密 。 在 创建 了 一 个 数据 库 表 后 ,通过 这 一 工具 对 该 表 进 行 定 义 ;“ 数 据 库 应 用 系统 ”的 
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功能 是 完成 数据 库 定义 和 操作 。 数 据 库 加 密 系 统 将 根据 加 密 要 求 自动 完成 对 数据 库 数据 的 
加 /解密 。 


定义 加 密 要 求 工具 
数据 库 


DBMS | 一 | 应 用 系统 
ft 


加 密 定义 工具 


~ 一 数据 库 
加 密 器 。 | | 数据 库 
(软件 或 硬件 ) 应 用 系统 


加 密 器 
(软件 或 硬件 ) 
图 4.1 DBMS 内 核 层 加 密 关系 图 4.2 DBMS 外 层 加 密 关系 


3. 数据 库 加 密 系统 结构 


数据 库 加 密 系统 分 为 两 个 功能 独立 的 主要 部 件 : 一 个 是 加 密 字典 管理 程序 ; 另 一 个 是 
数据 库 加 /解密 引擎 。 数 据 库 加 密 系统 体系 结构 如 图 4. 3 所 示 。 


加 密 字典 , 加 密 

管理 程序 数据 库 字典 
加 /解密 

加 密 系统 用 户 

应 用 程序 数据 


图 4.3 数据 库 加 密 系统 体系 结构 


数据 库 加 密 系统 将 用 户 对 数据 库 信息 具体 的 加 密 要 求 记载 在 加 密 字典 中 ,加 密 字 典 是 
数据 库 加 密 系统 的 基础 信息 。 通 过 调用 数据 库 加 /解密 引擎 实现 对 数据 库 表 的 加 密 、 解 密 及 
数据 转换 等 功能 。 数 据 库 信息 的 加 /解密 处 理 是 在 后 人 台 完 成 的 ,对 数据 库 服 务 器 是 透明 的 。 

加 密 字 典 管理 程序 是 管理 加 密 字典 的 实用 程序 ,是 数据 库 管 理 员 变更 加 密 要 求 的 工具 。 
加 密 字典 管理 程序 通过 数据 库 加 /解密 引擎 实现 对 数据 库 表 的 加 密 、 解 密 及 数据 转换 等 功 
能 ,此 时 , 它 作 为 一 个 特殊 客户 来 使 用 数据 库 加 /解密 引擎 。 

数据 库 加 /解密 引擎 是 数据 库 加 密 系统 的 核心 部 件 , 它 位 于 应 用 程序 与 数据 库 服 务 器 之 
间 , 负 责 在 后 台 完成 数据 库 信 息 的 加 /解密 处 理 , 对 应 用 开发 人 员 和 操作 人 员 来 说 是 透明 的 。 
数据 加 /解密 引擎 没有 操作 界面 ,在 需要 时 由 操作 系统 自动 加 载 并 驻 留 在 内 存 中 ,通过 内 部 
接口 与 加 密 字典 管理 程序 和 用 户 应 用 程序 通信 。 

数据 库 加 /解密 引擎 由 三 大 模块 组 成 : 数据 库 接口 模块 ,用户 接 口 模块 和 加 /解密 处 理 
模块 。 数 据 库 接口 模块 的 主要 工作 是 接受 用 户 的 操作 请 求 , 并 传递 给 加 /解密 处 理 模 块 , 此 
外 还 代替 加 /解密 处 理 模块 去 访问 数据 库 服务 器 ,并 完成 外 部 接口 参数 与 加 /解密 引擎 内 部 
数据 结构 之 间 的 转换 ; 加 /解密 处 理 模块 完成 数据 库 加 /解密 引擎 的 初始 化 .内 部 专用 命令 
的 处 理 、 加 密 字典 信息 的 检索 、 加 密 字典 缓冲 区 的 管理 ,SQL 命令 的 加 密 变 换 、 查 询 结果 的 
解密 处 理 以 及 加 /解密 算法 的 实现 等 功能 ,另外 还 包括 一 些 公用 的 辅助 函数 。 
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按 以 上 方式 实现 的 数据 库 加 密 系统 具有 如 下 优点 : 
。 系统 对 数据 库 的 最 终 用 户 完 全 透明 ,数据库 管理 员 可 以 指定 需要 加 密 的 数据 并 根据 
需要 进行 明文 和 密 文 的 转换 。 
系统 完全 独立 于 数据 库 应 用 系统 ,不 需要 改动 数据 库 应 用 系统 就 能 实现 加 密 功 能 ， 
同时 系统 采用 了 分 组 加 密 法 和 二 级 密 钥 管 理 ,实现 了 * 一 次 一 密 钥 "加密 。 
系统 在 客户 端 进行 数据 加 /解密 运算 ,不 会 影响 数据 库 服务 器 的 系统 效率 ,数据 加 / 
解密 运算 基本 无 延迟 。 

数据 库 加 密 系 统 能 够 有 效 地 保证 数据 的 安全 ,即使 黑客 窃取 了 关键 数据 ,他 仍然 难以 得 
到 所 需 的 信息 ,因为 所 有 的 数据 都 经 过 了 加 密 。 另 外 ,数据 库 加 密 以 后 ,可 以 设 定 不 需要 了 
解数 据 内 容 的 系统 管理 员 不 能 见 到 明文 ,这 样 可 大 大 提高 关键 性 数据 的 安全 性 。 


44 数据 备份 和 恢复 


在 日 常 工作 中 ,人 为 操作 错误 .系统 软件 或 应 用 软件 缺陷 、 硬 件 损 毁 `. 电 脑病 毒 . 黑 客 攻 
击 、 突 然 断 电 、 意 外 宕 机 、 自 然 灾 害 等 诸多 因素 都 有 可 能 造成 计算 机 中 数据 的 丢失 ,给 用 户 造 
成 无 法 估量 的 损失 。 因 此 ,数据 备份 与 恢复 对 用 户 来 说 显得 格外 重要 。 


44.1 数据 备份 


1 数据 备份 的 概念 


数据 备份 就 是 指 为 防止 系统 出 现 操作 失误 或 系统 故障 导致 数据 丢失 ,而 将 全 部 或 部 分 
数据 集合 从 应 用 主机 的 硬盘 或 阵列 中 复制 到 其 他 存储 介质 上 的 过 程 。 计 算 机 系统 中 的 数据 
备份 ,通常 是 指 将 存储 在 计算 机 系统 中 的 数据 复制 到 磁带 、 磁 盘 、 光 盘 等 存储 介质 上 ,在 计算 
机 以 外 的 地 方 另 行 保管 。 这 样 , 当 计算 机 系统 设备 发 生 故 障 或 发 生 其 他 威胁 数据 安全 的 灾 
害 时 ,能 及 时 地 从 备份 的 介质 上 恢复 正确 的 数据 。 

数据 备份 的 目的 就 是 为 了 系统 数据 骨 溃 时 能 够 快速 地 恢复 数据 ,使 系统 迅速 恢复 运行 。 
那么 就 必须 保证 备份 数据 和 源 数据 的 一 致 性 和 完整 性 ,消除 系统 使 用 者 的 后 顾 之 忧 。 其 关 
键 是 在 于 保障 系统 的 高 可 用 性 , 即 操作 失误 或 系统 故障 发 生 后 .能 够 保障 系统 的 正常 运行 。 
如 果 没 有 了 数据 ,一 切 的 恢复 都 是 不 可 能 实现 的 ,因此 备份 是 一 切 灾难 恢复 的 基石 。 从 这 个 
意义 上 说 ,任何 灾难 恢复 系统 实际 上 都 是 建立 在 备份 基础 上 的 。 数 据 备 份 与 恢复 系统 是 数 
据 保 护 措施 中 最 直接 .最 有 效 、 最 经 济 的 方案 ,也 是 任何 计算 机 信息 系统 不 可 缺少 的 一 部 分 。 

现在 不 少 用 户 也 意识 到 了 这 一 点 ,采取 了 系统 定期 检测 与 维护 、 双 机 热 备份 .磁盘 镜像 
或 容错 、 备 份 磁带 异地 存放 、 关 键 部 件 元 余 等 多 种 预防 措施 。 这 些 措施 一 般 能 够 进行 数据 备 
份 ,并 且 在 系统 发 生 故 障 后 能 够 进行 快速 系统 恢复 。 

数据 备份 能 够 用 一 种 增加 数据 存储 代价 的 方法 保护 数据 安全 , 它 对 于 拥有 重要 数据 的 
大 企 事业 单位 是 非常 重要 的 ,因此 数据 备份 和 恢复 通常 是 大 中 型 企 事 业 网 络 系统 管理 员 每 
天 必 做 的 工作 之 一 。 对 于 个 人 计算 机 用 户 ,数据 备份 也 是 非常 必要 的 。 

传统 的 数据 备份 主要 是 采用 数据 内 置 或 外 置 的 磁带 机 进行 冷 备 份 。 一 般 来 说 ,各 种 操 
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作 系 统 都 附带 了 备份 程序 。 但 随 着 数据 的 不 断 增加 和 系统 要 求 的 不 断 提高 ,附带 的 备份 程 
序 已 无 法 满足 需求 。 要 想 对 数据 进行 可 靠 的 备份 ,必须 选择 专门 的 备份 软 ,硬件 ,并 制定 相 
应 的 备份 及 恢复 方案 。 

目前 比较 常用 的 数据 备份 方式 有 : 

。 本 地 磁带 备份 。 利 用 大 容量 磁带 备份 数据 。 

。 本 地 可 移动 存储 器 备份 。 利 用 大 容量 等 价 软 盘 驱 动 器 、 可 移动 等 价 硬盘 驱动 器 ,一 
次 性 可 刻录 光盘 驱动 器 、 可 重复 刻录 光盘 驱动 器 进行 数据 备份 。 
本 地 可 移动 硬盘 备份 。 利 用 可 移动 硬盘 备份 数据 。 
。 本 机 多 硬盘 备份 。 在 本 机 内 装 有 多 块 硬盘 ,利用 除 安 装 和 运行 操作 系统 和 应 用 程序 
的 硬盘 外 的 其 余 硬 盘 进 行 数据 备份 。 
远程 磁带 库 、 光 盘 库 备份 。 将 数据 传送 到 远程 备份 中 心 制作 完整 的 备份 磁带 或 光盘 。 
。 远程 数据 库 备份 。 在 与 主 数据 库 所 在 生产 机 相 分 离 的 备份 机 上 建立 主 数据 库 的 一 
个 拷贝 。 
网 络 数据 镜像 。 对 生产 系统 的 数据 库 数 据 和 所 需 跟踪 的 重要 目标 文件 的 更 新 进行 
监控 与 跟踪 ,并 将 更 新 日 志 实时 通过 网 络 传送 到 备份 系统 ,备份 系统 则 根据 日 志 对 
磁盘 进行 更 新 。 
远程 镜像 磁盘 。 通 过 高 速 光纤 通道 线路 和 磁盘 控制 技术 将 镜像 磁盘 延伸 到 远离 生 
产 机 的 地 方 ,镜像 磁盘 数据 与 主 磁盘 数据 完全 一 致 ,更 新 方式 为 同步 或 异步 。 


2. 数据 备份 的 类 型 


按 数据 备份 时 的 数据 库 状 态 的 不 同 可 分 为 冷 备 份 , 热 备 份 和 逻辑 备份 等 类 型 。 

(1) 冷 备份 (Cold Backup) 

冷 备份 是 指 在 关闭 数据 库 的 状态 下 进行 的 数据 库 完全 备份 。 备 份 内 容 包 括 所 有 的 数据 
文件 .控制 文件 ,联机 日 志文 件 等 。 因 此 ,在 进行 冷 备份 时 数据 库 将 不 能 被 访问 。 冷 备份 通 
常 只 采用 完全 备份 。 

(2) 热 备份 (Hot Backup) 

热 备份 是 指 在 数据 库 运行 状态 下 ,对 数据 文件 和 控制 文件 进行 的 备份 。 使 用 热 备份 必 
须 将 数据 库 运 行 在 归档 方式 下 。 在 进行 热 备份 的 同时 可 以 进行 数据 库 的 各 种 操作 。 

(3) 逻辑 备份 

逻辑 备份 是 最 简单 的 备份 方法 ,可 按 数据 库 中 某 个 表 、 某 个 用 户 或 整个 数据 库 进 行 导 
出 。 使 用 这 种 方法 ,数据库 必 须 处 于 打开 状态 , 且 如 果 数 据 库 不 是 在 restrict 状态 将 不 能 保 
证 导出 数据 的 一 致 性 。 


3. 数据 备份 策略 


需要 进行 数据 备份 的 部 门 都 要 先 制定 数据 备份 策略 。 数 据 备份 策略 包括 确定 需 备份 的 
数据 内 容 ( 如 进行 完全 备份 、 增 量 备 份 、 差 别 备份 还 是 按 需 备份 )、 备 份 类 型 (如 采用 冷 备份 还 
是 热 备份 ) 、 备 份 周期 (如 以 月 、 周 、 日 还 是 小 时 为 备份 周期 )、 备 份 方式 (如 采用 手工 备份 还 是 
自动 备份 )、 备 份 介质 (如 以 光盘 、 硬 盘 、 磁 带 还 是 优盘 做 备份 介质 ) 和 备份 介质 的 存放 等 。 下 
面 是 不 同 数据 内 容 的 几 种 备份 方式 。 


第 4 章 ”网 络 数据 库 与 数据 安全 


123 


(1) 完全 备份 (Full Backup) 

完全 备份 是 指 按 备 份 周 期 (如 一 天 ) 对 整个 系统 所 有 的 文件 (数据 ) 进 行 备份 。 这 种 备份 
方式 比较 流行 ,也 是 克服 系统 数据 不 安全 的 最 简单 方法 ,操作 起 来 也 很 方便 。 有 了 完全 备 
份 , 网 络 管理 员 可 清楚 地 知道 从 备份 之 日 起 便 可 恢复 网 络 系统 的 所 有 信息 ,恢复 操作 也 可 一 
次 性 完成 。 如 当 发 现 数据 丢失 时 ,只 要 用 一 盘 故 障 发 生前 一 天 备份 的 磁带 , 即 可 恢复 丢失 的 
数据 。 但 这 种 方式 的 不 足 之 处 是 由 于 每 天 都 对 系统 进行 完全 备份 ,在 备份 数据 中 必定 有 大 
量 的 内 容 是 重复 的 ,这 些 重复 的 数据 占用 了 大 量 的 磁带 空间 ,这 对 用 户 来 说 就 意味 着 增加 成 
本 ; 另外 ,由 于 进行 完全 备份 时 需要 备份 的 数据 量 相当 大 ,因此 备份 所 需 时 间 较 长 。 对 于 那 
些 业务 繁忙 .备份 窗口 时 间 有 限 的 单位 ,选择 这 种 备份 策略 是 不 合适 的 。 

(2) 增 量 备份 (Incremental Backup) 

增 量 备份 是 指 每 次 备份 的 数据 只 是 相当 于 上 一 次 备份 后 增加 的 和 修改 过 的 内 容 , 即 备 
份 的 都 是 已 更 新 过 的 数据 。 比 如 ,系统 在 星期 日 做 了 一 次 完全 备份 ,然后 在 以 后 的 六 天 里 每 
天 只 对 当天 新 的 或 被 修改 过 的 数据 进行 备份 。 这 种 备份 的 优点 是 没有 或 减少 了 重复 的 备份 
数据 , 既 节 省 存储 介质 空间 ,又 缩短 了 备份 时 间 。 但 它 的 缺点 是 恢复 数据 过 程 比较 麻烦 ,不 
可 能 一 次 性 地 完成 整体 的 恢复 。 

(3) 差别 备份 (Differential Backup) 

差别 备份 也 是 在 完全 备份 后 将 新 增加 或 修改 过 的 数据 进行 备份 ,但 它 与 增 量 备份 的 区 
别 是 每 次 备份 都 对 上 次 完全 备份 后 更 新 过 的 数据 进行 备份 。 比 如 ,星期 日 进行 完全 备份 后 ， 
其 余 六 天 中 的 每 一 天 都 将 当天 所 有 与 星期 日 完全 备份 时 不 同 的 数据 进行 备份 。 差 别 备份 可 
节省 备份 时 间 和 存储 介质 空间 ,只 需 两 盘 磁 带 (星期 日 备份 磁带 和 故障 发 生前 一 天 的 备份 磁 
带 ) 即 可 恢复 数据 。 差 别 备份 兼 具 了 完全 备份 的 发 生 数据 丢失 时 恢复 数据 较 方便 和 增 量 备 
份 的 节省 存储 空间 及 备份 时 间 的 优点 。 

完全 备份 所 需 的 时 间 最 长 ,占用 存储 介质 容量 最 大 ,但 数据 恢复 时 间 最 短 ,操作 最 方便 ， 
当 系 统 数据 量 不 大 时 该 备份 方式 最 可 靠 ; 但 当 数 据 量 增 大 时 ,很 难 每 天 都 做 完全 备份 ,可 选 
择 周 末 做 完全 备份 ,在 其 他 时 间 采 用 所 用 时 间 最 少 的 增 量 备份 或 时 间 介 于 两 者 之 间 的 差别 
备份 。 在 实际 备份 中 ,通常 也 是 根据 具体 情况 ,采用 这 几 种 备份 方式 的 组 合 , 如 年 底 做 完全 
备份 ,月 底 做 完全 备份 ,周末 做 完全 备份 ,而 每 天 做 增 量 备份 或 差别 备份 。 

(4) 按 需 备 份 

除 以 上 备份 方式 外 ,还 可 采用 对 随时 所 需 数据 进行 备份 的 方式 进行 数据 备份 。 按 需 备 
份 就 是 指 除 正 常备 份 外 ,额外 进行 的 备份 操作 。 额 外 备份 可 以 有 许多 理由 ,比如 ,只 想 备 份 
很 少 几 个 文件 或 目录 ,备份 服务 器 上 所 有 的 必需 信息 ,以 便 进 行 更 安全 的 升级 等 。 这 样 的 备 
份 在 实际 应 用 中 经 常 遇 到 。 


442 数据 恢复 


数据 恢复 是 指 将 备份 到 存储 介质 上 的 数据 再 恢复 到 计算 机 系统 中 , 它 与 数据 备份 是 一 
个 相反 的 过 程 。 

数据 恢复 措施 在 整个 数据 安全 保护 中 占有 相当 重要 的 地 位 ,因为 它 关 系 到 系统 在 经 历 
灾难 后 能 否 迅 速 恢复 运行 。 


ja 计算 机 网 络 安全 ( 第 2 版 ) 


通常 , 当 硬 盘 数据 被 破坏 时 , 当 需 要 查询 以 往年 份 的 历史 数据 而 这 些 数据 又 已 从 现 系统 
上 清除 和 当 系 统 需 要 从 一 台 计 算 机 转移 到 另 一 台 计算 机 上 和 运行 时 应 使 用 数据 恢复 功能 进行 
数据 恢复 。 


1. 恢复 数据 时 的 注意 事项 


由 于 恢复 数据 是 覆盖 性 的 ,不 正确 的 恢复 可 能 破坏 硬盘 中 的 最 新 数据 ,因此 在 进行 
数据 恢复 时 ,应 先 将 硬盘 数据 备份 。 

进行 恢复 操作 时 ,用 户 应 指明 恢复 何 年 何 月 的 数据 。 当 开始 恢复 数据 时 ,系统 首先 
识别 备份 介质 上 标识 的 备份 日 期 是 否 与 用 户 选择 的 日 期 相同 ,如 果 不 同 将 提醒 用 户 
更 换 备份 介质 。 

由 于 数据 恢复 工作 比较 重要 ,容易 错 把 系统 上 的 最 新 数据 变 成 备份 盘 上 的 旧 数据 ， 
因此 应 指定 少数 人 进行 此 项 操作 。 

。 不 要 在 恢复 过 程 中 关机 、 关 电源 或 重新 启动 机 器 。 

不 要 在 恢复 过 程 中 打开 驱动 器 开 关 或 抽出 软盘 、 光 盘 ( 除 非 系 统 提示 换 盘 )。 


2. 数据 恢复 的 类 型 


一 般 来 说 ,数据 恢复 操作 比 数据 备份 操作 更 容易 出 问题 。 数 据 备份 只 是 将 信息 从 磁盘 复 
制 出 来 ,而 数据 恢复 则 要 在 目标 系统 上 创建 文件 。 在 创建 文件 时 会 出 现 许 多 差错 ,如 超过 容量 
限制 .权限 问题 和 文件 覆盖 错误 等 。 数 据 备份 操作 不 需 知道 太 多 的 系统 信息 ,只 需 复制 指定 信 
息 就 可 以 了 ; 而 数据 恢复 操作 则 需要 知道 哪些 文件 需要 恢复 ,哪些 文件 不 需要 恢复 ,等 等 。 

数据 恢复 操作 通常 有 全 盘 恢 复 、 个 别 文件 恢复 和 重 定向 恢复 三 种 类 型 。 

(1) 全 盘 恢 复 

全 盘 恢 复 就 是 将 备份 到 介质 上 的 指定 系统 信息 全 部 转 储 到 它们 原来 的 地 方 。 全 盘 恢复 
一 般 应 用 在 服务 器 发 生意 外 灾难 时 导致 数据 全 部 丢失 、 系 统 崩 省 或 是 有 计划 的 系统 升级 、 系 
统 重组 等 ,也 称 为 系统 恢复 。 

(2) 个 别 文件 恢复 

个 别 文件 恢复 就 是 将 个 别 已 备份 的 最 新 版 文件 恢复 到 原来 的 地 方 。 对 大 多 数 备份 来 
说 ,这 是 一 种 相对 简单 的 操作 。 个 别 文件 恢复 要 比 全 盘 恢 复 用 得 更 普遍 。 利 用 网 络 备份 系 
统 的 恢复 功能 ,很 容易 恢复 受 损 的 个 别 文件 。 需 要 时 只 要 浏览 备份 数据 库 或 目录 ,找到 该 文 
件 , 启 动 恢复 功能 ,系统 将 自动 驱动 存储 设备 ,加载 相应 的 存储 媒体 ,恢复 指定 文件 。 

(3) 重 定向 恢复 

重 定向 恢复 是 将 备份 的 文件 (数据 ) 恢 复 到 另 一 个 不 同 的 位 置 或 系统 上 去 ,而 不 是 做 备 
份 操作 时 它们 所 在 的 位 置 。 重 定向 恢复 可 以 是 整个 系统 恢复 ,也 可 以 是 个 别 文件 恢复 。 
定向 恢复 时 需要 慎重 考虑 ,要 确保 系统 或 文件 恢复 后 的 可 用 性 。 


| 
地 \ 


443 数据 容 灾 


对 于 IT 而 言 , 容 灾 系 统 就 是 为 计算 机 信息 系统 提供 的 一 个 能 应 付 各 种 灾难 的 环境 。 
当 计算 机 系统 在 遭受 如 火灾 \ 水 灾 、 地 震 、 战 争 等 不 可 抗拒 的 灾难 和 意外 时 , 容 灾 系 统 将 保证 


第 4 章 ”网 络 数据 库 与 数据 安全 


125 


用 户 数据 的 安全 性 ,甚至 提供 不 间断 的 应 用 服务 。 
1. 容 灾 系 统 和 容 灾 备 份 


这 里 所 说 的 * 灾 ?具体 是 指 计 算 机 网 络 系统 遇 到 的 自然 灾难 (洪水 .飓风 .地震 )、. 外 在 事 
件 ( 电 力 或 通信 中 断 ) 、 技 术 失 效 及 设备 受 损 (火灾 ) 等 。 容 灾 ( 或 容 灾 备份 ) 就 是 指 计算 机 网 
络 系统 在 遇 到 这 些 灾难 时 仍 能 保证 系统 数据 的 完整 .可 用 和 系统 正常 运行 。 

对 于 那些 业务 不 能 中 断 的 用 户 和 行业 ,如 银行 证券. 电信 等 , 因 其 关键 业务 的 特殊 性 ， 
必须 有 相应 的 容 灾 系统 进行 防护 。 保 持 业 务 的 连续 性 是 当今 企 事业 用 户 需 要 考虑 的 一 个 极 
为 重要 的 问题 ,而 容 灾 的 目的 就 是 保证 关键 业务 的 可 靠 运 行 。 利 用 容 灾 系统 ,用 户 把 关键 数 
据 存放 在 异地 , 当 生产 (工作 ) 中 心 发 生 灾难 时 ,备份 中 心 可 以 很 快 将 系统 接管 并 运行 起 来 。 

从 概念 上 讲 , 容 灾 备 份 是 指 通 过 技术 和 管理 的 途径 ,确保 在 灾难 发 生 后 , 企 事业 单位 的 
关键 数据 、 数 据 处 理 系 统 和 业务 在 短 时 间 内 能 够 恢复 。 因 此 ,在 实施 容 灾 备份 之 前 , 企 事 业 
单位 首先 要 分 析 哪 些 数据 最 重要 ,哪些 数据 要 做 备份 ,这 些 数据 价值 多 少 ,再 决定 采用 何 种 
形式 的 容 灾 备份 。 

现在 , 容 灾 备 份 的 技术 和 市 场 正 处 于 一 个 快速 发 展 的 阶段 。 据 权威 机 构 研 究 表明 ,国外 
的 容 灾 备份 市 场 每 年 增幅 达 20% ,而 中 国 市 场 每 年 的 增幅 达到 40%% 以上。 在 此 契机 下 , 国 
家 已 将 容 灾 备份 作为 今后 信息 发 展 规划 中 的 一 个 重点 ,各 地 方 和 行业 准备 或 已 建立 起 一 些 
容 灾 备份 中 心 。 这 不 仅 可 以 为 大 型 企业 和 部 门 提供 容 灾 服务 ,也 可 以 为 大 量 的 中 小 企业 提 
供 不 同 需求 的 容 灾 服务 。 


2. 数据 容 灾 与 数据 备份 的 关系 


许多 用 户 对 经 常 听 到 的 数据 容 灾 这 种 说 法 不 理解 ,把 数据 容 灾 与 数据 备份 等 同 起 来 ,其 
实 这 是 不 对 的 ,至 少 是 不 全 面 的 。 

备份 与 容 灾 不 是 等 同 的 关系 ,而 是 两 个 “交集 ”, 中 间 有 大 部 分 的 重合 关系 。 多 数 容 灾 工 
作 可 由 备份 来 完成 ,但 容 灾 还 包括 网 络 等 其 他 部 分 ,而 且 , 只 有 容 灾 才 能 保证 业务 的 连续 性 。 

数据 容 灾 与 数据 备份 的 关系 主要 体现 在 以 下 几 个 方面 。 

(1) 数据 备份 是 数据 容 灾 的 基础 

数据 备份 是 数据 高 可 用 性 的 一 道 安 全 防线 ,其 目的 是 为 了 在 系统 数据 崩溃 时 能 够 快速 
地 恢复 数据 。 虽 然 它 也 算 一 种 容 灾 方 案 , 但 这 样 的 容 灾 能 力 非常 有 限 ,因为 传统 的 备份 主要 
是 采用 磁带 机 进行 冷 备份 ,备份 磁带 同时 也 在 机 房 中 统一 管理 ,一 旦 整个 机 房 出 现 了 灾难 ， 
这 些 备份 磁带 也 将 随 之 销毁 ,所 存储 的 磁带 备份 也 起 不 到 任何 容 灾 作用 。 

(2) 容 灾 不 是 简单 备份 

显然 , 容 灾 备份 不 等 同 于 一 般 意义 上 的 业务 数据 备份 与 恢复 ,数据 备份 与 恢复 只 是 容 灾 
备份 中 的 一 个 方面 。 容 灾 备 份 系统 还 包括 最 大 范围 地 容 灾 、 最 大 限度 地 减少 数据 丢失 、 实 时 
切换 、 短 时 间 恢 复 等 多 项 内 容 。 可 以 说 , 容 灾 备 份 正在 成 为 保护 企 事业 单位 关键 数据 的 一 种 
有 效 手段 。 

真正 的 数据 容 灾 就 是 要 避免 传统 冷 备份 所 具有 的 先天 不 足 , 要 能 在 灾难 发 生 时 ,全 面 、 
及 时 地 恢复 整个 系统 。 容 灾 按 其 容 灾 能 力 的 高 低 可 分 为 多 个 层次 ,例如 国际 标准 SHARE 
78 定义 的 容 灾 系 统 有 七 个 层次 ,分 别 为 : 本 地 数据 备份 与 恢复 .批量 存 取 访问 方式 .批量 存 
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取 访 问 方式 十 热 备份 地 点 .电子 链接 .工作 状态 的 备份 地 点 、 双 重 在 线 存 信和 零 数 据 丢 失 。 
这 些 层次 从 最 简单 的 仅 在 本 地 进行 磁带 备份 ,到 将 备份 的 磁带 存储 在 异地 ,再 到 建立 应 用 系 
统 实时 切换 的 异地 备份 系统 ,恢复 时 间 也 可 以 从 几 天 到 几 小 时 ,甚至 到 分 钟 级 、 秒 级 或 0 数 
据 丢 失 等 。 

无 论 是 采用 哪 种 容 灾 方案 ,数据 备份 还 是 最 基础 的 ,没有 备份 的 数据 ,任何 容 灾 方案 都 
没有 现实 意义 。 但 光 有 备份 是 不 够 的 , 容 灾 也 必 不 可 少 。 

(3) 容 灾 不 仅仅 是 技术 

容 灾 不 仅仅 是 一 项 技术 ,更 是 一 项 工程 。 目 前 很 多 客户 还 停留 在 对 容 灾 技术 的 关注 上 ， 
而 对 容 灾 的 流程 ,规范 及 具体 措施 还 不 太 清楚 ,也 从 不 对 容 灾 方案 的 可 行 性 进行 评估 ,认为 
只 要 建立 了 容 灾 方 案 即 可 放心 了 ,其 实 这 是 具有 很 大 风险 的 。 特 别 是 在 一 些 中 小 企 事业 单 
位 ,认为 自己 的 企 事业 单位 为 了 数据 备份 和 容 灾 , 年 年 花费 了 大 量 的 人 力 和 财力 ,而 结果 几 
年 下 来 根本 就 没有 发 生 任何 大 的 灾难 ,于 是 放松 了 警惕。 可 一 旦 发 生 了 灾难 ,将 损失 巨大 。 
这 一 点 国外 的 跨国 公司 就 做 得 非常 好 ,尽管 几 年 下 来 的 确 未 出 现 大 的 灾难 ,备份 了 那么 多 磁 
带 ,几乎 没有 派 上 任何 用 场 , 但 仍 一 如 既往 ,非常 认真 地 做 好 每 一 步 ,并 且 基 本 上 每 月 都 有 对 
现行 容 灾 方 案 的 可 行 性 进行 评估 ,进行 实地 演练 。 


3. 容 灾 系统 


容 灾 系统 包括 数据 容 灾 和 应 用 容 灾 两 部 分 。 数 据 容 灾 可 保证 用 户 数据 的 完整 性 、 可 靠 
性 和 一 致 性 ,但 不 能 保证 服务 不 中 断 。 应 用 容 灾 是 在 数据 容 灾 的 基础 上 ,在 异地 建立 一 套 完 
整 的 与 本 地 生产 系统 相当 的 备份 应 用 系统 ,在 灾难 情况 下 ,远程 系统 迅速 接管 业务 运行 , 提 
供 不 间 断 的 应 用 服务 ,让 客户 的 服务 请 求 能 够 继续 。 可 以 说 ,数据 容 灾 是 系统 能 够 正常 工作 
的 保障 ; 而 应 用 容 灾 则 是 容 灾 系统 建设 的 目标 , 它 是 建立 在 可 靠 的 数据 容 灾 基础 上 ,通过 应 
用 系统 、 网 络 系统 等 各 种 资源 之 间 的 良好 协调 来 实现 的 。 

(1) 本 地 容 灾 

本 地 容 灾 的 主要 手段 是 容错 。 容 错 的 基本 思想 就 是 利用 外 加 资源 的 元 余 技 术 来 达到 屏 
项 故障 .自动 恢复 系统 或 安全 停机 的 目的 。 容 错 是 以 牺牲 外 加 资源 为 代价 来 提高 系统 可 靠 
性 的 。 外 加 资源 的 形式 很 多 ,主要 有 硬件 元 余 、 时 间 宛 余 、 信 息 宛 余 和 软件 元 余 。 容 错 技 术 
的 使 用 使 得 容 灾 系统 能 恢复 大 多 数 的 故障 ,然而 当 遇 到 自然 灾害 及 战争 等 意外 时 , 仅 采用 本 
地 容 灾 技 术 并 不 能 满足 要 求 ,这 时 应 考虑 采用 异地 容 灾 保 护 措施 。 

在 系统 设计 中 ,企业 一 般 考虑 做 数据 备份 和 采用 主机 集群 的 结构 ,因为 它们 能 解决 本 地 
数据 的 安全 性 和 可 用 性 。 目 前 人 们 所 关注 的 容 灾 ,大 部 分 也 都 只 是 停留 在 本 地 容 灾 的 层 
面 上 。 

(2) 异地 容 灾 

异地 容 灾 是 指 在 相隔 较 远 的 异地 ,建立 两 套 或 多 套 功能 相同 的 系统 。 当 主 系统 因 意外 
停止 工作 时 ,备用 系统 可 以 接替 工作 ,保证 系统 的 不 间断 运行 。 异 地 容 灾 系 统 采用 的 主要 方 
法 是 数据 复制 ,目的 是 在 本 地 与 异地 之 间 确 保 各 系统 关键 数据 和 状态 参数 的 一 致 

异地 容 灾 系统 具备 应 付 各 种 灾难 特别 是 区 域 性 与 毁灭 性 灾难 的 能 力 ,具备 较为 完善 的 
数据 保护 与 灾难 恢复 功能 ,保证 灾难 降临 时 数据 的 完整 性 及 业务 的 连续 性 ,并 在 最 短 时 间 内 
恢复 业务 系统 的 正常 运行 ,将 损失 降 到 最 小 。 其 系统 一 般 由 生产 系统 、 可 接替 运行 的 后 备 系 
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统 ,数据 备份 系统 、 备 用 通信 线路 等 部 分 组 成 。 在 正常 生产 和 数据 备份 状态 下 ,生产 系统 向 
备份 系统 传送 需 备份 的 数据 。 灾 难 发 生 后 , 当 系统 处 于 灾难 恢复 状态 时 ,备份 系统 将 接替 生产 
系统 继续 运行 。 此 时 重要 营业 终端 用 户 将 从 生产 主机 切换 到 备份 中 心 主机 ,继续 对 外 营业 。 


4. 数据 容 灾 技术 


容 灾 系 统 的 核心 技术 是 数据 复制 ,目前 主要 有 同步 数据 复制 和 异步 数据 复制 两 种 。 同 
步 数 据 复 制 是 指 通过 将 本 地 数据 以 完全 同步 的 方式 复制 到 异地 ,每 一 个 本 地 1/O 交易 均 需 
等 待 远程 复制 的 完成 方 也 以 释放 。 异 步 数 据 复制 是 指 将 本 地 数据 以 后 台 方式 复制 到 异地 ， 
每 一 本 地 1/O 交易 均 正常 释放 ,无 需 等 待 远 程 复 制 的 完成 。 数 据 复制 对 数据 系统 的 一 致 性 
和 可 靠 性 以 及 系统 的 应 变 能 力 具 有 举足轻重 的 作用 , 它 决 定 着 容 灾 系 统 的 可 靠 性 和 可 用 性 。 

对 数据 库 系 统 可 采用 远程 数据 库 复制 技术 来 实现 容 灾 。 这 种 技术 是 由 数据 库 系 统 软件 
实现 数据 库 的 远程 复制 和 同步 的 。 基 于 数据 库 的 复制 方式 可 分 为 实时 复制 .定时 复制 和 存 
储 转发 复制 ,并 且 在 复制 过 程 中 ,还 有 自动 冲突 检测 和 解决 的 手段 ,以 保证 数据 的 一 致 性 不 
受 破坏 。 远 程 数据 库 复制 技术 对 主机 的 性 能 有 一 定 要 求 ,可 能 增加 对 磁盘 存储 容量 的 需求 ， 
但 系统 运行 恢复 较 简 单 ,在 实时 复制 方式 时 数据 一 致 性 较 好 ,所 以 对 于 一 些 对 数据 一 致 性 要 
求 较 高 .数据 修改 更 新 较 频 繁 的 应 用 ,可 采用 基于 数据 库 的 容 灾 备 份 方案 。 

目前 ,业内 实施 比较 多 的 容 灾 技 术 是 基于 智能 存储 系统 的 远程 数据 复制 技术 。 它 是 由 
智能 存储 系统 自身 实现 数据 的 远程 复制 和 同步 , 即 智能 存储 系统 将 对 本 系统 中 的 存储 器 
I/O 操作 请 求 复制 到 远 端的 存储 系统 中 并 执行 ,保证 数据 的 一 致 性 。 

还 可 以 采用 基于 迪 辑 磁盘 卷 的 远程 数据 复制 技术 进行 容 灾 。 这 种 技术 就 是 将 物理 存储 
设备 划分 为 一 个 或 多 个 逻辑 磁盘 卷 (Volume) ,便于 数据 的 存储 规划 和 管理 。 逮 辑 磁 盘 卷 可 
理解 为 在 物理 存储 设备 和 操作 系统 之 间 增 加 一 个 逻辑 存储 管理 层 。 基 于 逮 辑 磁盘 卷 的 远程 
数据 复制 就 是 根据 需要 将 一 个 或 多 个 卷 进行 远程 同步 或 异步 复制 。 该 方案 通常 通过 软件 来 
实现 ,基本 配置 包括 卷 管理 软件 和 远程 复制 控制 管理 软件 。 基 于 逻辑 磁盘 卷 的 远程 数据 复 
制 因为 是 基于 逻辑 存储 管理 技术 ,一般 与 主机 系统 ,物理 存 储 系 统 设备 无 关 , 对 物理 存储 系 
统 自身 的 管理 功能 要 求 不 高 ,有 较 好 的 可 管理 性 。 

在 建立 容 灾 备 份 系统 时 会 涉及 多 种 技术 ,具体 有 SAN 和 NAS 技术、 远程 镜像 技术 、 虚 
拟 存 储 技术 、 基 于 IP 的 SAN 的 互联 技术 .快照 技术 等 。 

(1) SAN 和 NAS 技 术 

SAN(Storage Area Network, 存 储 区 域 网) 提供 一 个 存储 系统 、 备 份 设备 和 服务 器 相互 
连接 的 架构 。 它 们 之 间 的 数据 不 再 在 以 太 网 络 上 流通 ,从 而 大 大 提高 以 太 网 络 的 性 能 。 正 
由 于 存储 设备 与 服务 器 完全 分 离 , 用 户 获得 一 个 与 服务 器 分 开 的 存储 管理 理念 。 复 制 、 备 
份 、 恢 复数 据 和 安全 的 管理 可 以 以 中 央 的 控制 和 管理 手段 进行 ,加 上 把 不 同 的 存储 池 以 网 络 
方式 连接 ,用 户 可 以 以 任何 需要 的 方式 访问 数据 ,并 获得 更 高 的 数据 完整 性 。 

NAS(Network Attached Storage, 网 络 附 加 存储 ) 使 用 了 传统 以 太 网 和 IP 协议 , 当 进行 
文件 共享 时 , 则 利用 了 NFS 和 CIFS(Common Internet File System) 以 沟通 NT 和 UNIX 
系统 。 由 于 NFS 和 CIFS 都 是 基于 操作 系统 的 文件 共享 协议 ,所 以 NAS 的 性 能 特点 是 进 
行 小 文件 级 的 共享 存 取 。 

SAN 以 光纤 通道 交换 机 和 光纤 通道 协议 为 主要 特征 的 本 质 决定 了 它 在 性 能 、 距 离 , 管 
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理 等 方面 的 诸多 优点 。 而 NAS 的 部 署 非 常 简单 ,只 需 与 传统 交换 机 连接 即 可 。NAS 的 成 
本 较 低 , 因 为 它 的 投资 仅 限 于 一 台 NAS 服务 器 ,而 不 像 SAN 是 整个 存储 网 络 ; NAS 服务 
器 的 价格 往往 是 针对 中 小 企业 定位 的 ; NAS 服务 器 的 管理 也 非常 简单 , 它 一 般 都 支持 Web 
的 客户 端 管理 ,对 熟悉 操作 系统 的 网 络 管理 人 员 来 说 ,其 设置 既 熟 悉 又 简单 。 概 括 来 说 ， 
SAN 对 于 高 容量 块 状 级 数据 传输 具有 明显 的 优势 ,而 NAS 则 更 加 适合 文件 级 别 上 的 数据 
处 理 。SAN 和 NAS 实际 上 也 是 能 够 相互 补充 的 存储 技术 。 

(2) 远程 镜像 技术 

远程 镜像 技术 用 于 主 数据 中 心 和 备 援 数据 中 心 之 间 的 数据 备份 。 两 个 镜像 系统 一 个 叫 
主 镜像 系统 ,一 个 叫 从 镜像 系统 。 按 主 、 从 镜像 存储 系统 所 处 的 位 置 可 分 为 本 地 镜像 和 远程 
镜像 。 

远程 镜像 又 叫 远程 复制 ,是 容 灾 备份 的 核心 技术 ,同时 也 是 保持 远程 数据 同步 和 实现 灾 
难 恢复 的 基础 。 远 程 镜像 按 请 求 镜像 的 主机 是 否 需 要 远程 镜像 站 点 的 确认 信息 ,又 可 分 为 
同步 远程 镜像 和 异步 远程 镜像 。 

同步 远程 镜像 是 指 通 过 远程 镜像 软件 ,将 本 地 数据 以 完全 同步 的 方式 复制 到 异地 ,每 一 
个 本 地 的 W/O 事务 均 需 等 待 远程 复制 的 完成 确认 信息 , 方 可 予以 释放 。 同 步 镜 像 使 远程 拷 
贝 总 能 与 本 地 机 要 求 复制 的 内 容 相 匹 配 。 当 主 站 点 出 现 故 障 时 ,用 户 的 应 用 程序 切换 到 备 
份 的 蔡 代 站 点 后 ,被 镜像 的 远程 副本 可 以 保证 业务 继续 执行 而 没有 数据 丢失 。 但 同步 远程 
镜像 系统 存在 往返 传输 造成 延 时 较 长 的 缺点 ,因此 它 只 限于 在 相对 较 近 的 距离 上 应 用 。 

异步 远程 镜像 保证 在 更 新 远程 存储 视图 前 完成 向 本 地 存储 系统 的 基本 1/O 操作 ,而 由 
本 地 存储 系统 提供 给 请 求 镜 像 主机 的 1/O 操作 完成 确认 信息 。 远 程 数 据 复制 是 以 后 台所 
步 的 方式 进行 的 ,这 使 本 地 系统 性 能 受到 的 影响 很 小 ,传输 距离 远 ( 可 达 1000 千 米 以 上 ) ,对 
网 络 带 宽 要 求 小 。 但 是 ,许多 远程 的 从 属 存储 子 系统 的 写 操作 没有 得 到 确认 , 当 某 种 因素 造 
成 数据 传输 失败 时 ,可 能 会 出 现 数据 的 不 一 致 问题 。 为 了 解决 这 个 问题 ,目前 大 多 采用 延迟 
复制 的 技术 , 即 在 确保 本 地 数据 完好 无 损 后 进行 远程 数据 更 新 。 

(3) 快照 技术 

远程 镜像 技术 往往 同 快照 技术 结合 起 来 实现 远程 备份 , 即 通过 镜像 把 数据 备份 到 远程 
存储 系统 中 ,再 用 快照 技术 把 远程 存储 系统 中 的 信息 备份 到 远程 的 磁带 库 .光盘 库 中 。 

快照 是 通过 软件 对 要 备份 的 磁盘 子 系统 的 数据 快速 扫描 ,建立 一 个 要 备份 数据 的 快照 
逻辑 单元 号 LUN 和 快照 Cache。 在 快速 扫描 时 ,把 备份 过 程 中 即将 要 修改 的 数据 块 同时 快 
速 拷贝 到 快照 Cache 中 。 快 照 LUN 是 一 组 指针 , 它 指向 快照 Cache 和 磁盘 子 系统 中 不 变 
的 数据 块 。 在 正常 业务 进行 的 同时 ,利用 快照 LUN 实现 对 原 数 据 的 一 个 完全 备份 。 它 可 
使 用 户 在 正常 业务 不 受 影响 的 情况 下 ,实时 提取 当前 在 线 业 务 数据 。 其 “备份 窗口 ”接近 于 
零 , 可 大 大 增加 系统 业务 的 连续 性 ,为 实现 系统 真正 的 全 天 候 运 转 提供 了 保证 。 

(4) 虚拟 存储 技术 

在 有 些 容 灾 方案 中 ,还 采取 了 虚拟 存储 技术 ,如 西 瑞 异 地 容 灾 方 案 。 虚 拟 化 存储 技术 在 
系统 弹性 和 可 扩展 性 上 开创 了 新 的 局 面 。 它 将 几 个 IDE 或 SCSI 驱动 器 等 不 同 的 存储 设备 
串联 成 一 个 存储 器 地。 存储器 池 的 整个 存储 容量 可 以 分 为 多 个 逻辑 卷 ,并 作为 虚拟 分 区 进 
行 管理 。 存 储 由 此 成 为 一 种 功能 而 非 物理 属性 ,而 这 正 是 基于 服务 器 的 存储 结构 存在 的 主 
要 限制 。 
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虚拟 存储 系统 还 提供 动态 改变 逻辑 卷 大 小 的 功能 。 事实 上 ,存储 卷 的 容量 可 以 在 线 随 
意 增加 或 减少 。 可 以 通过 在 系统 中 增加 或 减少 物理 磁盘 的 数量 来 改变 集群 中 逻辑 卷 的 大 
小 。 这 一 功能 允许 卷 的 容量 随 用 户 的 即时 要 求 动态 改变 。 随 着 业务 的 发 展 , 可 利用 剩余 空 
间 根 据 需 要 扩展 逻辑 卷 ,也 可 以 将 数据 在 线 从 旧 驱 动 器 转移 到 新 的 驱动 器 上 ,而 不 中 断 正常 
服务 的 运行 。 

存储 虚拟 化 的 一 个 关键 优势 是 它 允许 异 构 系统 和 应 用 程序 共享 存储 设备 ,而 不 管 它们 
位 于 何 处 。 系 统 将 不 再 需要 在 每 个 分 部 的 服务 器 上 都 连接 一 台 磁 带 设 备 。 


习题 和 思考 题 


一 、 问 答题 

1. 简 述 数据 库 数据 的 安全 措施 。 

2. 简 述 数据 库 系统 安全 威胁 的 来 源 。 

3. 何 为 数据 库 的 完整 性 ? 数据 库 的 完整 性 约束 条 件 有 哪些 ? 

4. 何 为 数据 备份 ”数据 备份 有 哪些 类 型 ? 

5. 何 为 数据 容 灾 ? 数据 容 灾 技术 有 哪些 ? 

二 , 填空 题 

1. 按 数 据 备份 时 备份 的 数据 不 同 ,可 有 i 和 按 需 备份 等 备 
份 方式 。 

2. 数据 恢复 操作 通常 可 分 为 三 类 : 和 重 定向 恢复 。 

3. 数据 备份 是 数据 容 灾 的 

4. 数据 的 是 指 保护 网 络 中 存储 和 传输 数据 不 被 非法 改变 。 

5 
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. 数据库 安全 包括 数据 库 安全 性 和 数据 库 安全 性 两 层 含义 。 

. 是 指 在 多 用 户 的 环境 下 ,对 数据 库 的 并 行 操作 进行 规范 的 机 制 , 从 而 保证 
数据 的 正确 性 与 一 致 性 。 

7. 当 故 障 影响 数据 库 系统 操作 ,甚至 使 数据 库 中 全 部 或 部 分 数据 丢失 时 ,希望 能 尽快 
恢复 到 原 数 据 库 状 态 或 重建 一 个 完整 的 数据 库 ,该 处 理 称 为 


8: 是 指 为 防止 系统 出 现 操作 失误 或 系统 故障 导致 数据 丢失 ,而 将 全 系统 或 部 
分 数据 从 主机 的 硬盘 或 阵列 中 复制 到 其 他 存储 介质 上 的 过 程 。 
9. 影响 数据 完整 性 的 主要 因素 有 、 软 件 故 障 、 、 人 为 威胁 和 意外 灾 
难 等 。 
三 、 单 项 选择 题 
1. 按 数 据 备 份 时 数据 库 状 态 的 不 同 有 (  ” )。 
A. 热 备份 B. 冷 备份 C. 逻辑 备份 D. A、B、C 都 对 
2. 数据 库 系统 的 安全 框架 可 以 划分 为 网 络 系统 ( ) 和 DBMS 三 个 层次 。 
A. 操作 系统 B. 数据 库 系统 。 C. 软件 系统 D. 容错 系统 


3. 按 备 份 周期 对 整个 系统 所 有 的 文件 进行 备份 的 方式 是 ( ) 备 份 。 
A. 完全 B. 增 量 C. 差别 D. 按 需 
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本 章 要 点 
。 密码 学 及 数据 加 密 的 基本 概念 ; 
。 传统 密码 技术 ; 
。 对 称 密 钥 密 码 和 公开 密 钥 密 码 体制 ; 
。 密 钥 管理 ; 
。 网 络 保密 通信 ， 
。 数据 鉴别 与 身份 认证 技术 ; 
。 加 密 软件 PGP 的 应 用 ; 
数据 加 密 和 鉴别 算法 的 应 用 。 

安全 立法 对 保护 网 络 系统 安全 有 不 可 替代 的 重要 作用 ,但 依靠 法 律 也 阻止 不 了 攻击 者 
对 网 络 数据 的 各 种 威胁 。 加 强行 政 .人 事 管理 ,采取 物理 保护 措施 等 都 是 保护 系统 安全 不 可 
缺少 的 有 效 措施 ,但 有 时 这 些 措施 也 会 受到 各 种 环境 、 费 用 、 技 术 以 及 系统 工作 人 员 素 质 等 
条 件 的 限制 。 采 用 访问 控制 、 系 统 软 硬件 保护 等 方法 保护 网 络 系统 资源 ,简单 易 行 ,但 也 存 
在 诸如 系统 内 部 某 些 职员 可 以 轻松 越过 这 些 障碍 而 进行 计算 机 犯罪 等 不 易 解 决 的 问题 。 采 
用 密码 技术 保护 网 络 中 存储 和 传输 的 数据 ,是 一 种 非常 实用 、 经 济 ` 有 效 的 方法 。 对 信息 进 
行 加 密 保 护 可 以 防止 攻击 者 窃取 网 络 机 密 信息 ,可 以 使 系统 信息 不 被 无 关 者 识别 ,也 可 以 检 
测 出 非法 用 户 对 数据 的 插入 删除、 修改 及 滥用 有 效 数 据 的 各 种 行为 。 


51 数据 加 密 概述 
5.1.1 密码 学 的 发 展 


密码 学 (Cryptography) 是 一 门 古老 而 深奥 的 学 科 , 它 以 认识 密码 变换 为 本 质 , 加 密 与 解 
密 基本 规律 为 研究 对 象 。Cryptography 一 词 来 源 于 古 希 腊 的 Crypto 和 Graphein, 意 思 是 
密 写 。 一 般 人 对 密码 学 是 陌生 的 ,因为 长 期 以 来 , 它 只 被 应 用 在 军事 、 外 交 和 情报 等 部 门 。 

早 在 几 千 年 前 ,人 类 就 已 经 有 了 保密 通信 的 思想 和 方法 ,但 这 些 保密 方法 都 是 非常 朴 
素 、. 原 始 和 低级 的 ,而 且 大 多 数 是 无 规律 的 。 有 记载 的 最 早 的 密码 系统 可 能 是 希腊 历史 学 家 
发 明 的 Polybios, 这 是 一 种 蔡 代 密码 系统 。 
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1949 年 ,信息 论 的 创始 人 仙 农 (C. E. Shannon) 发 表 了 一 篇 著名 文章 ,论证 了 一 般 经 典 
加 密 方法 都 是 可 以 破解 的 。 到 了 20 世纪 60 年 代 , 随 着 电子 技术 、 信 息 技 术 的 发 展 及 结构 代 
数 、 可 计算 性 理论 和 复杂 度 理论 的 研究 ,密码 学 又 进入 了 一 个 新 的 时 期 。 

近年 来 ,密码 学 研究 之 所 以 十 分 活跃 ,主要 是 它 与 计算 机 科学 的 蓬勃 发 展 密切 相关 。 此 
外 ,还 有 在 电信 、 金 融 领 域 和 防止 日 益 广泛 的 计算 机 犯罪 的 需要 。 在 互联 网 出 现 之 前 ,密码 
技术 已 经 广泛 应 用 于 军事 和 民用 方面 。 现 在 ,密码 技术 应 用 于 计算 机 网 络 中 的 实例 越 来 
越 多 。 

密码 学 的 发 展 可 分 为 两 个 主要 阶段 。 第 一 个 阶段 是 传统 密码 学 阶段 , 即 古代 密码 学 阶 
段 , 该 阶段 基本 上 依靠 人 工 和 机 械 对 信息 进行 加 密 、 传 输 和 破译 ; 第 二 个 阶段 是 计算 机 密码 
学 阶段 ,该 阶段 又 可 细 分 为 两 个 阶段 ,即使 用 传统 方法 的 计算 机 密码 学 阶段 和 使 用 现代 方法 
的 计算 机 密码 学 阶段 。 前 者 是 指 计 算 机 密码 工作 者 沿用 传统 密码 学 的 基本 观念 进行 信息 的 
保密 ; 而 后 者 是 指使 用 现代 思想 进行 信息 的 保密 , 它 包括 对 称 密 钥 密码 体制 和 非 对 称 密 钥 
密码 体制 两 个 方向 。 

计算 机 密码 学 是 研究 利用 现代 技术 手段 对 计算 机 系统 中 的 数据 进行 加 密 、 解 密 和 变换 
的 学 科 , 是 数学 和 计算 机 科学 交叉 的 学 科 , 也 是 一 门 新 兴 的 学 科 。 随 着 计算 机 网 络 和 现代 通 
信 技 术 的 发 展 ,计算 机 密码 学 得 到 了 前 所 未 有 的 发 展 和 应 用 。 在 国外 ,计算 机 密码 学 已 成 为 
计算 机 系统 安全 的 主要 研究 方向 ,也 是 计算 机 安全 课程 教学 中 的 主要 内 容 。 

密码 学 包括 密码 编码 学 和 密码 分 析 学 两 部 分 。 前 者 是 研究 密码 变化 的 规律 并 用 之 于 编 
制 密码 以 保护 秘密 信息 的 科学 , 即 研 究 如 何 通 过 编码 技术 来 改变 被 保护 信息 的 形式 ,使 得 编 
码 后 的 信息 除 指定 接收 者 之 外 的 其 他 人 都 不 能 理解 ; 后 者 是 研究 密码 变化 的 规律 并 用 之 于 
分 析 ( 解 释 ) 密 码 以 获取 信息 情报 的 科学 , 即 研究 如 何 攻破 一 个 密码 系统 ,恢复 被 隐藏 起 来 的 
信息 的 本 来 面目 。 密 码 编码 学 是 实现 对 信息 保密 的 ,密码 分 析 学 是 实现 对 信息 解密 的 ,这 两 
部 分 相辅相成 ,互相 促进 ,也 是 矛盾 的 两 个 方面 。 

在 20 世纪 70 年 代 , 密 码 学 的 研究 出 现 了 两 大 成 果 , 一 个 是 1977 年 美国 国家 标准 局 
(NBS) 颁 布 的 联邦 数据 加 密 标准 (DES) , 另 一 个 是 1976 年 由 Diffie 和 Hellman 提出 的 公 钥 
密码 体制 的 新 概念 。DES 将 传统 的 密码 学 发 展 到 了 一 个 新 的 高 度 , 公 钥 密码 体制 的 提出 被 
公认 为 是 实现 现代 密码 学 的 基石 。 这 两 大 成 果 已 成 为 近代 密码 学 发 展 史 上 两 个 重要 的 里 
程 碑 。 

随 着 计算 机 网 络 不 断 渗透 到 国民 经 济 各 个 领域 ,密码 学 的 应 用 也 随 之 扩大 。 数 字 签 名 、 
身份 鉴别 等 都 是 由 密码 学 派生 出 来 的 新 技术 和 应 用 。 


5.12 密码 学 的 基本 概念 


在 计算 机 网 络 系统 中 ,采用 密码 技术 将 信息 隐蔽 起 来 ,再 将 隐藏 后 的 信息 进行 存储 和 传 
输 。 这 样 ,即使 信息 在 存储 或 传输 过 程 中 被 窃取 或 截获 ,那些 非法 获得 信息 者 因 不 了 解 这 些 
信息 的 隐蔽 规律 ,也 就 无 法 识别 信息 的 内 容 , 从 而 保证 了 计算 机 网 络 系统 中 的 信息 安全 。 

在 密码 学 中 ,通过 使 用 某 种 算法 并 使 用 一 种 专门 信息 一 一 密 钥 ,将 信息 从 一 个 可 理解 的 
明码 形式 变换 成 一 个 错乱 的 不 可 理解 的 密码 形式 ,只 有 再 使 用 密 钥 和 相应 的 算法 才能 把 密 
码 还 原 成 明码 。 


131 


132 


计算 机 网 络 安全 ( 第 2 版 ) 


明文 (PlainText) 也 叫 明 码 ,是 信息 的 原文 ,在 网 络 中 也 叫 报 文 (Message) ,通常 指 待 发 
的 电文 、 编 写 的 专用 软件 、 源 程序 等 ,可 用 了 或 M 表示 。 密 文 (CipherText) 又 叫 密 码 ,是 明 
文 经 过 变换 后 的 信息 ,一 般 是 难以 识别 的 ,可 用 C 表示 。 
把 明文 变换 成 密 文 的 过 程 就 是 加 密 (Encryption) ,其 反 过 程 ( 把 密 文 还 原 为 明文 ) 就 是 
解密 (Decryption) 。 一 般 的 密码 系统 的 模型 如 图 5. 1 所 示 。 
明文 P 


密 文 C 


加 密 (B) | 解 守 D) | 


加 密 密 钥 K。 攻击 者 解密 密 钥 Ka 
图 5.1 一 般 的 密码 系统 示意 图 


密码 算法 (Algorithm) 是 加 密 和 解密 变换 的 一 些 公式 、 法 则 或 程序 ,多 数 情况 下 是 一 些 
数学 函数 。 密 码 算法 规定 了 明文 和 密 文 之 间 的 变换 规则 。 加 密 时 使 用 的 算法 叫 加 密 算法 ， 
解密 时 使 用 的 算法 叫 解密 算法 。 

密 钥 (Key) 是 进行 数据 加 密 或 解密 时 所 使 用 的 一 种 专门 信息 (工具 ), 可 看 成 是 密码 中 
的 参数 ,用 K 表示。 加 密 时 使 用 的 密 钥 叫 加 密 密 钥 , 解 密 时 使 用 的 密 钥 叫 解密 密 钥 。 

密码 系统 是 由 算法 ,明文 、 密 文 和 密 钥 组 成 的 可 进行 加 密 和 解密 信息 的 系统 。 

数据 加 密 过 程 就 是 利用 加 密 密 钥 ,对 明文 按照 加 密 算法 的 规则 进行 变换 ,得 到 密 文 的 过 
程 。 解 密 过 程 就 是 利用 解密 密 钥 , 对 密 文 按照 解密 算法 的 规则 进行 变换 ,得 到 明文 的 过 程 。 

密码 算法 的 安全 性 : 根据 被 破译 密码 的 难 易 程度 ,不 同 的 密码 算法 可 有 不 同 的 安全 等 
级 。 如 果 破 译 密码 算法 的 代价 大 于 加 密 数据 的 价值 ,或 者 破译 算法 所 需 的 时 间 比 加 密 数据 
保密 的 时 间 更 长 ,或 者 使 用 密 钥 加 密 的 数据 量 比 破译 算法 需要 的 数据 量 少 得 多 ,无 论 是 上 述 
哪 种 情况 都 可 以 说 密码 算法 是 安全 的 。 

因为 密码 算法 可 以 公开 ,也 可 以 被 分 析 , 可 以 大 量 生产 使 用 算法 的 产品 。 所 有 加 密 系统 
的 安全 性 一 般 是 基于 密 钥 的 安全 性 ,而 不 是 基于 算法 细节 的 安全 性 。 只 要 破译 者 不 知道 你 
使 用 的 密 钥 ,他 就 对 你 的 密码 系统 无 能 为 力 . 就 不 能 破译 你 的 密 文 。 

从 图 5. 1 可 见 , 加 密 算法 实际 上 是 要 完成 其 函数 C= 二 /(P,K.) 的 运算 。 对 于 一 个 确定 
的 加 密 密 钥 K。 ,加密 过 程 可 看 做 是 只 有 一 个 自 变量 的 函数 , 记 作 Ei, 称 为 加 密 变 换 。 因 此 
加 密 过 程 也 可 记 为 


C= E(P) 
即 加 密 变 换 作 用 到 明文 P 后 得 到 密 文 C。 同 样 ,解密 算法 也 完成 某 种 函数 P 一 5(CKs','C) 的 
运算 ,对 于 一 个 确定 的 解密 密 钥 Ks 来 说 ,解密 过 程 可 记 为 

P= D6) 
De 叫 解密 变换 ,Di 作用 于 密 文 C 后 得 到 明文 P。 

由 此 可 见 , 密 文 C 经 解密 后 还 原 成 原来 的 明文 ,必须 有 
P= De(E(P)) = De .ECP) 

此 处 *。 "是 复合 运算 ,因此 要 求 

De . E:=I 
I 为 便 等 变换 ,表明 Di 与 E 是 互 逆 变 换 。 


第 5 章 ”数据 加 密 与 鉴别 


5.1.3 密码 的 分 类 


从 不 同 的 角度 ,根据 不 同 的 标准 ,可 将 密码 分 为 不 同 的 类 型 。 
1. 手工 密码 ` 机 械 密码 .电子 机 内 乱 密码 和 计算 机 密码 


按 密 码 的 历史 发 展 阶段 和 应 用 技术 划分 ,有 手工 密码 、 机 械 密码 .电子 机 内 乱 密 码 和 计 
算 机 密码 。 

手工 密码 是 以 手工 完成 ,或 以 简单 器 具 辅 助 完成 加 密 和 解密 过 程 的 密码 。 这 是 第 一 次 
世界 大 战 以 前 使 用 的 主要 密码 形式 。 

机 械 密码 是 以 机 械 密码 机 或 电动 密码 机 来 实现 加 密 和 解密 过 程 的 密码 。 这 种 密码 是 从 
第 一 次 世界 大 战 出 现 到 第 二 次 世界 大 战 中 得 到 普遍 应 用 。 

通过 电子 电路 ,以 严格 的 程序 进行 逻辑 运算 ,以 少量 制 乱 元 素 生 产 大 量 的 加 密 乱 数 , 因 
其 制 乱 是 在 加 密 、 解 密 过 程 中 完成 的 而 不 需 预 先 制作 ,所 以 称 为 电子 机 内 乱 密 码 。 

计算 机 密码 是 以 计算 机 软件 程序 完成 加 密 和 解密 过 程 的 密码 , 它 适用 于 计算 机 数据 保 
护 和 网 络 保密 通信 场合 。 


2. 替代 密码 和 移 位 密码 


按 密 码 转换 操作 的 原理 划分 ,有 替代 密码 和 移 位 密码 。 

替代 密码 也 叫 置 换 密码 。 蔡 代 密 码 就 是 在 加 密 时 将 明文 中 的 每 个 或 每 组 字符 由 另 一 个 
或 另 一 组 字符 所 蔡 换 , 原 字符 被 隐藏 起 来 , 即 形成 密 文 。 

移 位 密码 也 叫 换 位 密码 。 移 位 密码 是 在 加 密 时 只 对 明文 字母 (字符 ,符号 ) 重 新 排序 ,每 
个 字母 位 置 变 化 了 ,但 没 被 隐藏 起 来 。 移 位 密码 是 一 种 打 乱 原文 顺序 的 加 密 方法 。 

替代 密码 加 密 过 程 是 明文 的 字母 位 置 不 变 而 字母 形式 变化 了 , 移 位 密码 加 密 是 字母 的 
形式 不 变 而 位 置 变化 了 。 


3. 分 组 密码 和 序列 密码 


按 明文 加 密 时 的 处 理 过 程 划 分 ,有 分 组 密码 和 序列 密码 。 

分 组 密码 的 加 密 过 程 是 : 首先 将 明文 序列 以 固定 长 度 进行 分 组 ,每 组 明文 用 相同 的 密 
钥 和 算法 进行 变换 ,得 到 一 组 密 文 。 分 组 密码 是 以 分 组 为 单位 ,在 密 钥 的 控制 下 进行 一 系列 
线性 和 非 线 性 变换 而 得 到 密 文 的 。 分 组 密码 的 加 /解密 运算 过 程 是 : 输出 分 组 中 的 每 一 位 
是 由 输入 分 组 的 每 一 位 和 密 钥 的 每 一 位 共同 决定 的 。 加 密 算法 中 重复 地 使 用 蔡 代 和 移 位 两 
种 基本 的 加 密 变换 。 分 组 密码 具有 良好 的 扩散 性 、 对 插入 信息 的 敏感 性 、 较 强 的 适应 性 、 加 
密 /解密 速度 慢 、 差 错 的 扩散 和 传播 等 特点 。 

序列 密码 的 加 密 过 程 是 : 把 报 文 . 语 音 、 图 像 等 原始 信息 转换 为 明文 数据 序列 ,再 将 其 
与 密 钥 序列 进行 “ 异 或 ”运算 ,生成 密 文 序列 发 送 给 接收 者 。 接 收 者 用 相同 的 密 钥 序列 与 密 
文 序列 再 进行 逐 位 解密 ( 异 或 ) ,恢复 明文 序列 。 序 列 密码 加 /解密 的 密 钥 ,可 采用 一 个 比特 
流 发 生 器 随机 产生 二 进 制 比特 流 得 到 。 这 些 随 机 比特 流 作为 密 钥 ,与 明文 结合 产生 密 文 ,与 
密 文 结合 产生 明文 。 序 列 密码 的 安全 性 主要 依赖 于 随机 密 钥 序列 。 
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4. 对 称 密 钥 密码 和 非 对称 密 钥 密码 


按 加 密 和 解密 密 钥 的 类 型 划分 ,有 对 称 密 钥 密码 和 非 对称 密 钥 密 码 。 

加 密 和 解密 过 程 都 是 在 密 钥 的 作用 下 进行 的 。 如 果 加 密 密 钥 和 解密 密 钥 相同 或 相近 ， 
由 其 中 一 个 很 容易 地 得 出 另 一 个 ,这 样 的 系统 称 为 对 称 密 钥 密码 系统 。 在 这 种 系统 中 ,加 密 
和 解密 密 钥 都 需要 保密 。 对 称 密 钥 密 码 系统 也 称 为 单 密 钥 密码 系统 或 传统 密 钥 密 码 系统 。 

如 果 加 密 密 钥 与 解密 密 钥 不 同 , 且 由 其 中 一 个 不 容易 得 到 另 一 个 , 则 这 种 密码 系统 是 非 
对 称 密 钥 密码 系统 。 这 两 个 不 同 的 密 钥 ,往往 其 中 一 个 是 公开 的 , 另 一 个 是 保密 的 。 非 对 称 
密 钥 密码 系统 也 称 为 双 密 钥 密 码 系统 或 公开 密 钥 密码 系统 。 


52 传统 密码 技术 


数据 的 表示 有 多 种 形式 ,使 用 最 多 的 是 文字 ,其 次 还 有 图 形 声音、 图 像 等 。 传 统 加密 方 
法 加 密 的 对 象 是 文字 信息 。 文 字 由 字母 组 成 ,在 字母 表 中 26 个 英文 字母 是 按 顺序 排列 的 ， 
赋予 它们 相应 的 数字 序号 ,如 A 对 应 序号 1,B 对 应 序号 2,…… ,Z 对 应 序号 26。 因 为 大 多 
数 加 密 算法 都 有 数学 属性 ,这 种 表示 方法 便于 对 字母 进行 算术 运算 ,因此 可 用 数学 方法 进行 
加 密 变换 。 将 字母 表 中 的 字母 看 做 是 循环 的 ,将 字母 的 加 减 运算 变换 为 相应 代码 的 算术 运 
算 ,可 用 求 模 运算 来 表示 (在 标准 的 英文 字母 表 中 , 模 数 为 26) ,如 A 十 4 二 E,X 十 10 二 H( 因 
为 X 序 号 24,24 十 10 二 34,34(mod 26) 三 8, 序 号 8 对 应 的 字母 为 “H”) 。 
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替代 密码 在 加 密 时 将 一 个 字母 或 一 组 字母 的 明文 用 另 一 个 字母 或 一 组 字母 替代 ,而 得 
到 密 文 ; 解密 就 是 对 密 文 进行 逆 蔡 代 而 得 到 明文 的 过 程 。 
在 传统 密码 学 中 ,替代 密码 有 简单 替代 多 字母 替代 和 多 表 蔡 代 等 类 型 。 


1. 简单 蔡 代 密码 


简单 替代 密码 也 叫 单 表 蔡 代 密码 。 简 单 蔡 代 就 是 将 明文 的 一 个 字母 ,用 相应 的 一 个 密 
文字 母 代替 ,规则 是 根据 密 钥 形成 一 个 新 的 字母 表 , 与 原 明文 字母 表 有 相应 的 对 应 (映射 ) 关 
系 。 简 单 替代 加 密 方法 有 移 位 映射 法 ,倒映 射 法 和 步 长 映射 法 等 ,如 图 5.2 所 示 。 

例如 , 移 位 映射 的 移动 距离 为 十 4( 按 字母 顺序 向 右 移 4 个 字母 位 置 ), 则 明文 A、B、 
C、…、Y、Z 可 分 别 由 EF、G、…、C,D 代替 。 如 果 明 文 是 *about”, 则 变 为 密 文 就 是 “efsyx”。 
其 密 钥 k= 十 4, 如 图 5.2(a) 所 示 。 图 5.2(b) 为 倒映 射 ,图 5. 2(c) 为 步 长 是 3 的 步 长 映射 。 
简单 替代 密码 很 容易 破译 ,因为 它 没 有 把 明文 不 同 字母 出 现 的 频率 隐藏 起 来 ,所 有 密 文 都 是 
由 26 个 英文 字母 组 成 ,字母 出 现 的 统计 规律 不 变 。 破 译 这 种 密码 的 算法 已 经 有 很 多 种 。 


2. 多 字母 替代 密码 


多 字母 蔡 代 密码 的 加 密 和 解密 都 是 将 字母 以 块 为 单位 进行 的 ,比如 ,ABA 对 应 于 
OST,ABB 对 应 于 STL, 等 等 。 
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N—— 吕 
> 一 一 口 
xx 一 一 吕 
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口 一 熏 工 
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(a) 移 位 映射 


N 一 一 工 
> 一 一 口 
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(b) 倒映 射 


N 一 一 及 
> 一 = 三 
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三 一” 品 


口 一 一 一 
口 一 m 一 
[ne 


工 一 一 D 


(c) 步 长 映射 ( 步 长 为 3) 


图 5.2 替代 加 密 


多 字母 蔡 代 密码 是 在 19 世纪 中 期 发 明 的 ,在 第 一 次 世界 大 战 中 ,英国 人 就 采用 了 这 种 


对 成 组 字母 加 密 的 密码 。 


3. 多 表 替 代 密码 


多 表 兰 代 密 码 是 19 世纪 后 期 发 明 的 ,在 美国 南北 战争 期 间 由 联军 使 用 。 多 表 蔡 代 密码 
是 由 多 个 简单 蔡 代 密 码 构成 。 一 种 常用 的 多 表 蔡 代 密 码 叫 Vigenere( 维 吉 尼 亚 ) 密 码 。 它 


是 循环 使 用 有 限 个 字母 实现 蔡 代 的 。Vigenere 密码 是 把 26 个 字母 循环 移 位 ,排列 在 一 起 ， 


形成 26X26 的 方 阵 表 , 如 表 5. 1 所 示 。 加 密 和 解密 时 的 明文 、 密 钥 、 密 文 就 是 表 中 的 行 、 列 


及 交点 的 内 容 。 


Vigenere 密码 表 


表 5.1 
TKLMNOPQRS TUVWXYZ 


JK LMNOPAQORSTU VWTXY ZA 
jkKkLMNOPAQARS TUVWXYZ A BE 
jkKLMNO PAR SS TUVWXYZ ABC 

jEMNOPQRS TU VW YABCD 

JKLMNOPQORS TUYVWX YZABCDE 

J ELMNMOPARS TUVWXYZZABCDERF 

ykEMNMNOPAORS TU VWI YZ APCDE FS 

J kK LMNOPOQORS TUVWXYZABCDEFGNH 
ELMNOP oO RS TT UV TY BECDEFSG. NH 
KLMNOPFAQORS TUV WAX YABBC DEFSCG H 


I 


ABCDEFG H 


BCDEE G 天 


I 


cDETFSO HH 
Bb BF 


I 


I 


E FSG H 
RH 
G 

H 


I 


I 


I 


H 


I 


I 
J 


K 


I 
y 


K 


E 
J 


LMNOPQRSTUTVWXYZABCDE FEF G H 


I 


Ma 人 DD Pa TV WA YA BCDEF Ea 


KL WY 


I 


NO PAOR STUYV WTEC EEF. 


J KLMN 


OF 人 RR SS TUV WA YY 2 ABCDEFGH 


JKLMNO 


1 


PARS TUVWX YZABCDEPFGH 


jEKLMN OP 


I 


全 TUVWE YE ABCDE 人 PG HN 
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续 表 
人 
Ss TUVWXYZ ABCDEFGHTTITEKLMNOPAQR 
亚 到- 相机- 王 和 EFC I KLWMWNROPQ@ERS 
了 有 
VW YY ZZ ABCDEPFGHE ITEMNOPOAQORS TU 
WA YABCDEFG HT JEKEKLMNOPOAQORS TUY 
KY ZABCD EFGCGCHT J KLMNOPOQORSTUVY™W 
YS A BCDEPFGHT TT KEMNOPQORS TUYVWX 
ae bEFe Hi J RbHMO POR SS TU VE 


多 表 蔡 代 密码 有 多 个 单字 母 密 钥 ,每 个 密 钥 被 用 来 加 密 一 个 明文 字母 。 第 一 个 密 钥 加 密 
明文 的 第 一 个 字母 ,第 二 个 密 钥 加 密 明 文 的 第 二 个 字母 , 依 此 类 推 。 在 所 有 密 钥 用 完 后 , 密 钥 
再 被 循环 使 用 。 若 有 20 个 密 钥 , 那 么 每 隔 20 个 字母 的 明文 都 被 同一 个 密 钥 加 密 ,20 就 是 密码 
的 周期 。 周 期 越 长 的 密码 越 难 破译 。 使 用 计算 机 可 轻易 地 破译 具有 较 长 周期 的 替代 密码 。 


522 移 位 密码 
移 位 密码 加 密 时 只 对 明文 字母 重新 排序 ,字母 位 置 变化 了 ,但 它们 没有 被 隐藏 。 移 位 密 


码 加 密 是 一 种 打 乱 原文 顺序 的 替代 法 。 
例 5-1 把 明文 “this is a bookmark” 按 行 写 出 ,分 为 三 行 五 列 , 则 成 为 以 下 形式 : 


.1 
sab oo 
k ma rk 


读 出 时 按 从 左 到 右 的 列 顺序 进行 ,可 得 到 密 文 tskhamibasoriok。 该 例 的 密 钥 就 是 
12345, 即 按 列 读 出 的 顺序 。 

例 5-2 对 上 例 还 可 以 用 另 一 种 顺序 选择 相应 的 列 输出 得 到 密 文 。 如 用 “china” 为 密 
钥 , 对 “this is a bookmark” 排 列 成 上 述 矩 阵 。 密 钥 “china” 对 应 的 序号 为 *23451”, 再 以 从 小 
到 大 的 顺序 输出 , 即 可 得 到 密 文 ioktskhamibasor。 

例 5-3 对 于 句子 “ 移 位 密码 加 密 时 只 对 明文 字母 重新 排序 字母 位 置 变化 但 它们 没 被 
隐藏 ”, 可 选择 密 钥 “362415”, 并 循环 使 用 该 密 钥 对 上 句 进行 换 位 加 密 。 密 钥 的 数字 序列 代 
表明 文字 符 ( 汉 字 ) 在 密 文 中 的 排列 顺序 。 按 照 该 密 钥 加 密 可 得 到 一 个 不 可 理解 的 新 句子 
( 密 文 六 密 密 位 码 移 加 对 字 只 明 时 文 新 字 重 排 母 序 置 但 位 变 母 化 没 藏 们 被 它 隐 "。 解 密 时 只 
需 按 密 钥 362415 的 数字 从 小 到 大 顺序 将 对 应 的 密 文 字符 排列 , 即 可 得 到 明文 。 
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顾名思义 ,一 次 一 密 钥 密码 就 是 指 每 次 都 使 用 一 个 新 的 密 钥 进行 加 密 ,然后 该 密 钥 就 被 
丢弃 ,下 次 再 要 加 密 时 再 选择 一 个 新 密 钥 进 行 。 一 次 一 密 钥 密码 是 一 种 理想 的 加 密 方案 。 
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一 次 一 密 钥 密码 的 密 钥 就 像 每 页 都 印 有 密 钥 的 德 子 一 样 , 称 为 一 次 一 密 密 钥 本 ,该 密 钥 本 就 
是 一 个 包括 多 个 随机 密 钥 的 密 钥 字 母 集 ,其 中 每 一 页 上 记录 一 条 密 钥 。 

加 密 时 使 用 一 次 一 密 密 钥 本 的 过 程 类 似 于 日 历 的 使 用 过 程 ,每 使 用 一 个 密 钥 加 密 一 条 
信息 后 ,就 将 该 页 撕 掉 作废 ,下 次 加 密 时 再 使 用 下 一 页 的 密 钥 。 

发 送 者 使 用 密 钥 本 中 每 个 密 钥 字母 串 去 加 密 一 条 明文 字母 串 , 加 密 过 程 就 是 将 明文 字 
母 串 和 密 钥 本 中 的 密 钥 字母 串 进行 模 26 加 法 运算 。 接 收 者 有 一 个 同样 的 密 钥 本 ,并 依次 使 
用 密 钥 本 上 的 每 个 密 钥 去 解密 密 文 的 每 个 字母 串 。 接 收 者 在 解密 信息 后 也 销毁 密 钥 本 中 用 
过 的 一 页 密 钥 。 

例如 ,如果 信息 是 ONETIMEPAD, 密 钥 本 中 的 一 页 密 钥 是 GINTBDEYWX, 则 可 得 到 
密 文 VWSNKQJOXB。 这 是 因为 O0 十 G=V(Cmod 26), NI 二 W(mod 26),E 十 N= 
S(mod 26)，…。 

如 果 破 译 者 不 能 得 到 加 密 信息 的 密 钥 本 ,那么 该 方案 就 是 安全 的 。 由 于 每 个 密 钥 序列 
都 是 等 概率 的 (因为 密 钥 是 以 随机 方式 产生 的 ) ,破译 者 没有 任何 信息 对 密 文 进行 密码 分 析 。 

一 次 一 密 钥 的 密 钥 字母 必须 是 随机 产生 的 。 对 这 种 方案 的 攻击 实际 上 是 依赖 于 产生 密 
钥 序列 的 方法 。 不 要 使 用 伪 随 机 序列 发 生 器 产生 密 钥 ,因为 它们 通常 有 非 随 机 性 。 如 果 采 
用 真 随机 序列 发 生 器 产生 密 钥 ,这 种 方案 就 是 安全 的 。 

一 次 一 密 钥 密码 在 今天 仍 有 应 用 场合 ,主要 用 于 高 度 机 密 的 低 带 宽 信道 。 美 国 与 前 苏 
联 之 间 的 热线 电话 据说 就 是 用 一 次 一 密 密 钥 本 加 密 的 ,许多 前 苏联 间谍 传递 的 信息 也 是 用 
一 次 一 密 密 钥 本 加 密 的 。 至 今 这 些 信息 仍 是 保密 的 ,并 将 一 直 保密 下 去 。 不 管 超级 计算 机 
工作 多 久 , 也 不 管 半 个 多 世纪 中 有 多 少 人 ,用 什么 样 的 方法 和 技术 ,具有 多 大 的 计算 能 力 ,他 
们 都 不 能 阅读 前 苏联 间谍 用 一 次 一 密 密 钥 本 加 密 的 信息 ,除非 他 们 恰好 回 到 那个 年 代 , 并 得 
到 加 密 信息 的 一 次 一 密 密 钥 本 。 


53 对 称 密 钥 密 码 体 制 
531 对 称 密 钥 密 码 的 概念 
对 称 密 钥 密 码 体制 也 叫 传统 密 钥 密码 体制 ,其 基本 思想 就 是 “加 密 密 钥 和 解密 密 钥 相同 


或 相近 ”, 由 其 中 一 个 可 推导 出 男 一 个 。 使 用 时 两 个 密 钥 均 需 保密 ,因此 该 体制 也 叫 单 密 钥 
密码 体制 。 对 称 密 钥 密码 体制 模型 如 图 5. 3 所 示 。 


明文 P 密 文 C 文 P 
| i XC | Wi |B 


SS 


密 钥 
图 5. 3 对 称 密 钥 密码 系统 模型 


A 


一 个 对 称 密 钥 密码 体制 的 工作 流程 是 : 假定 A 和 B 是 两 个 系统 ,二 者 决定 进行 保密 通 
信 。A 和 也 通过 某 种 方式 获得 一 个 可 共用 的 秘密 密 钥 ,该 密 钥 只 有 A 和 B 知道 ,其 他 用 户 
都 不 知道 。A 或 B 通 过 使 用 该 密 钥 加 密 发 送 给 对 方 的 信息 ,只 有 对 方 可 以 解密 该 信息 ,其 
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他 用 户 均 无 法 解密 该 信息 ,这 样 就 达到 了 信息 传输 的 保密 性 目的 。 
532 DES 算 法 


数据 加 密 标 准 (DES) 是 由 IBM 公司 研制 的 ,并 经 长 时 间 论 证 和 筛选 后 ,于 1977 年 由 美 
国 国家 标准 局 颁布 的 一 种 加 密 算法 。DES 主要 用 于 民用 敏感 信息 的 加 密 ,1981 年 被 国际 标 
准 化 组 织 接受 作为 国际 标准 。DES 主要 采用 蔡 换 和 移 位 的 方法 加 密 。 它 用 56 位 (bit) 密 钥 
对 64 位 二 进 制 数 据 块 进行 加 密 , 每 次 加 密 可 对 64 位 的 输入 数据 进行 16 轮 编码 ,经 一 系列 
替换 和 移 位 后 ,输入 的 64 位 原始 数据 就 转换 成 了 完全 不 同 的 64 位 输出 数据 。DES 算法 仅 
使 用 最 大 为 64 位 的 标准 算术 和 逻辑 运算 ,运算 速度 快 , 密 钥 产生 容易 ,适合 于 在 大 多 数 计算 
机 上 用 软件 方法 实现 ,同时 也 适合 于 在 专用 芯片 上 实现 。 


1. DES 算法 概要 


DES 算法 能 对 64 位 二 进 制 数码 组 成 的 数据 组 在 56 位 密 钥 的 控制 下 进行 加 密 和 解密 ， 
56 位 密 钥 包含 在 64 位 密 钥 组 中 。 图 5.4 是 DES 加 密 /解密 算法 框图 。DES 是 一 个 对 称 算 
法 ,加密 和 解密 使 用 同一 算法 ,只 是 加 密 和 解密 时 使 用 的 子 密 钥 顺序 不 同 。 

如 图 5.4 所 示 ,DES 算法 是 按 下 列 四 个 主要 过 程 实 输入 64 位 明文 ( 密 文 ) 64 位 密 钥 组 
现 的 。 图 的 左边 是 明文 的 处 理 过 程 , 有 3 个 阶段 ,右边 是 
子 密 钥 的 生成 过 程 。 初始 置换 (IP) | 

。 子 密 钥 生 成 : 由 64 位 外 部 输入 密 钥 组 通过 置换 
选择 和 移 位 操作 生成 加 密 和 解密 所 需 的 16 组 子 “[ 乘积 变换 子 密 钥 生 成 ] 
密 钥 ,每 组 56 位 。 
初始 置换 (Initial Permutation ,IP) : 用 来 对 输入 逆 初 始 置换 (IP-) 
的 64 位 数据 组 进行 换 位 变换 , 即 按照 规定 的 矩 
阵 改 变数 据 位 的 排列 顺序 。 此 过 程 是 对 输入 的 
64 位 数据 组 进行 的 与 密 钥 无 关 的 数据 处 理 。 间 生生 中 国 
乘积 变换 : 此 过 程 与 密 钥 有 关 , 且 非常 复杂 ,是 加 密 过 程 的 关键 。 它 采用 的 是 分 
组 密码 ,通过 16 次 重复 的 替代 、 移 位 . 异 或 和 置换 来 打 乱 原 输入 数据 组 。 在 加 密 
过 程 中 ,乘积 变换 多 次 使 用 替代 法 和 置换 法 进行 变换 。 在 使 用 计算 机 处 理 时 ,把 
大 的 数据 组 作为 一 个 单元 来 进行 变换 ,其 优点 是 增加 替代 和 重新 排列 方式 的 
种 类 。 

。 逆 初 始 置换 (IP-:) : 与 初始 置换 处 理 过 程 相同 , 只 是 置换 矩阵 是 初始 置换 的 逆 和 矩阵 。 

由 于 DES 算法 可 用 56 位 密 钥 组 把 64 位 明文 (或 密 文 ) 数 据 加 密 ( 或 解密 ) 成 64 位 密 文 
(或 明文 ) 数 据 组 , 故 当 DES 算法 作为 一 种 标准 算法 公开 的 情况 下 ,信息 的 秘密 完全 寓于 56 
位 密 钥 之 中 ,因此 如 何 选取 密 钥 十 分 重要 。 

(1) 初始 置换 (IP) 

初始 置换 在 第 一 轮 运算 之 前 进行 ,对 输入 的 64 位 分 组 按照 表 5. 2 固定 的 矩阵 进行 换 
位 ,此 过 程 与 密 钥 无 关 。 


1 
输出 64 位 密 文 (明文 ) 


表 5.2 初始 置换 IP 
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58 50 42 34 26 18 10 2 
60 52 44 36 28 20 12 4 
62 54 46 38 30 22 14 6 
64 56 48 40 32 24 16 8 
57 49 41 33 25 17 9 1 
59 51 43 35 27 19 3 3 
61 53 45 37 29 21 13 5 
63 55 47 39 31 23 15 7 
表 5.3 置换 选择 1(PC-1) 
57 49 41 33 25 17 9 
1 58 50 42 34 26 18 
10 a 59 51 43 35 好 
19 入 3 60 52 44 36 
63 55 47 39 31 23 15 
7 62 54 46 38 30 22 
14 6 61 53 45 37 29 
21 13 5 28 20 12 4 


该 表 与 本 节 的 其 他 表 一 样 , 先 从 左 到 右 ,再 从 上 到 下 读 取 。 比 如 ,初始 置换 是 把 明文 的 
第 58 位 换 到 第 1 位 ,第 50 位 换 到 第 2 位 ,…… , 依 此 类 推 ,最 后 一 位 是 原来 的 第 7 位 。L。、 
R。 则 是 换 位 输出 后 的 两 部 分 ,L。 是 输出 的 左 32 位 ,R。 是 右 32 位 。 

初始 置换 和 对 应 的 逆 初 始 置换 并 不 影响 DES 的 安全 性 。 这 样 安排 的 主要 目的 是 为 了 
更 容易 地 将 明文 和 密 文 数据 以 字 节 为 单位 放 入 DES 芯片 中 ,用 硬件 容易 实现 。 


(2) 子 密 钥 生成 

外 部 输入 的 56 位 密 钥 (64 位 中 去 掉 8 个 校 验 
位 一 一 每 个 字 节 的 第 8 位 是 校 验 位 ) 通 过 置换 和 移 
位 操作 生成 加 密 和 解密 需要 的 16 个 48 位 的 子 
密 钥 。 

具体 步骤 如 下 (图 5. 5 为 子 密 钥 生成 流程 ) : 

第 一 步 : 56 位 密 钥 按 置换 选择 1(PC-1) 的 规 
律 ( 见 表 5. 3) 进 行 置换 ,然后 分 为 左右 各 28 位 。 

第 二 步 : 两 个 28 位 按 表 5. 4 的 轮 数 进行 不 同 
位 数 的 左 移 。 

第 三 步 : 将 左右 两 部 分 合成 56 位 后 ,再 经 过 
表 5.5 的 置换 选择 2(PC-2) 规 律 将 56 位 变换 为 48 
位 ,得 出 一 个 48 位 的 子 密 钥 。 这 次 变换 是 将 56 位 
变 为 48 位 ,所 以 也 称 为 压缩 置换 。 比 如 ,处 在 第 14 
位 位 置 的 那 一 位 在 输出 时 移 到 第 1 位 ,第 33 位 的 


KI 


56 位 密 钥 


PC-1 

Co(28 位 ) Co(28 位 ) 
LS LSi 

Ci(28 位 ) C1(28 位 ) 


LSi LSi 
Cie(28 位 )| Cie(28 位 ) 


PC-2 1 1 
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位 置 那 一 位 移 到 第 35 位 ,而 第 9、18 等 8 位 就 被 舍弃 了 。 


这 样 , 根 据 不 同 轮 数 分 别 进行 的 左 移 和 压缩 置换 ,分 别 得 到 16 个 48 位 的 子 密 钥 K,， 


K,,** ,Ki 
表 5.4 每 轮 移动 位 数 


轮 数 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 
入 入 ”和 - 溉 = 医 入 这 一 入 党 - -名 融 当 当当 了 田 1 
表 5.5 置换 选择 2(PC-2) 

14 17 11 24 1 5 

3 28 15 6 21 10 

23 19 12 4 26 8 

16 ei 27 20 13 2 

41 52 31 37 47 55 

30 40 51 45 33 48 

44 49 39 56 34 53 

46 42 50 36 29 82 


(3) 乘积 变换 

乘积 变换 过 程 如 图 5. 6 所 示 , 该 过 程 包括 多 次 线性 变 
换 和 非 线性 变换 。 该 过 程 通过 多 次 重复 的 替代 和 置换 方 
法 , 打 乱 原 输入 数据 组 ,加 大 非 规律 性 ,增加 系统 分 析 的 
难度 。 

乘积 变换 过 程 包括 如 下 步骤 : 

第 一 步 : 将 经 过 初始 置换 后 的 64 位 明文 分 为 左右 各 
32 位 两 部 分 L。 和 Ru。 。 

第 二 步 ; 将 R。 的 32 位 按 表 5. 6 规定 置换 成 48 位 后 ， 
与 第 一 组 子 密 钥 K, 进行 异 或 运算 。 

第 三 步 : 将 异 或 得 到 的 48 位 结果 , 按 表 5.7 规律 经 过 8 
个 S 盒 变换 ,得 到 32 位 输出 。 

第 四 步 : 8 个 S 盒 (如 图 5.7 所 示 ) 的 32 位 输出 再 按 
表 5. 8 的 规律 经 过 一 个 线性 变换 ,得 到 32 位 输出 。 


5.6 一 轮 DES 变换 


表 5.6 EE 盒 变换 表 
32 1 2 3 4 5 
4 5 6 7 8 9 
8 9 10 11 12 13 
12 13 14 15 16 17 
16 17 18 19 20 21 
20 21 22 23 24 25 
24 25 26 27 28 29 
28 29 30 31 32 1 
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表 5.7 S 盒 变换 表 


列 0 1 2 3 4 5 6 8 9 10 11 12 13 14 15 
0 14 4 13 1 15 11 8 3 10 6 12 0 7 
1 15 7 4 14 2 13 1 10 6 12 11 9 5 3 8 
2 1 14 8 13 2 11 15 12 9 人 10 5 0 
3 15 12 2 4 9 1 时 5 11 3 14 10 0 6 13 
0 15 8 14 6 11 3 4 9 7 2 13 12 0 5 10 
1 13 必 15 2 8 14 12 0 1 10 9 11 5 
2 14 11 10 4 13 1 5 8 12 6 3 2 15 
3 13 8 10 1 3 15 4 2 11 6 到 12 5 14 9 
0 10 14 6 3 15 5 1 13 12 7 11 4 2 8 
1 13 9 3 4 6 10 2 8 5 14 12 11 15 1 
2 13 9 8 15 3 0 11 1 2 12 5 10 14 7 
3 1 10 13 0 6 9 8 4 15 14 3 11 5 2 12 
0 7 13 14 3 0 6 9 10 2 8 5 11 12 4 15 
1 13 11 5 6 15 0 3 4 到 2 12 1 10 14 9 
2 10 9 0 12 11 归 13 15 1 3 14 5 2 4 
3 3 15 0 6 10 1 13 8 9 4 5 11 12 2 14 
0 2 12 4 1 10 11 6 8 5 3 15 13 0 14 9 
1 14 11 2 12 4 7 13 1 5 0 15 10 9 8 6 
2 4 1 11 10 13 8 15 9 12 3 0 14 
3 Ei 12 a 1 14 2 13 6 15 0 10 4 5 3 
0 12 1 10 15 9 2 6 8 0 13 3 14 Lg 5 11 
1 10 15 1 2 7 12 9 6 1 13 14 0 11 3 8 
2 14 15 5 2 8 12 3 7 0 4 10 1 13 11 6 
3 3 12 9 5 15 10 11 14 . 和 6 0 8 13 
0 11 14 15 0 8 13 3 12 9 7 5 10 6 y 
13 0 11 a 4 9 1 10 14 3 5 12 2 15 8 6 
2 1 4 11 13 12 3 过 14 10 15 6 8 0 9 2 
3 6 11 13 8 4 10 包 9 5 0 15 14 3 12 
0 13 2 8 4 6 15 11 a 10 9 3 14 5 12 有 
1 | 15 13 8 10 3 7 4 12 5 6 1 0 14 9 2 
2 7 11 4 1 9 12 14 2 0 6 10 13 15 8 
3 2 1 14 闻 4 10 8 13 15 12 9 0 3 5 6 11 

48 位 输入 
ee 
S 盒 1 S 盒 2 S 盒 3 S 盒 4 S 盒 5 S 盒 6 S 盒 7 S 盒 8 
32 位 输出 
图 5.7 S 盒 变换 


第 五 步 : 线性 变换 的 32 位 输出 与 L。 异 或 ,得 到 新 的 32 位 输出 , 即 Ri 。 
第 六 步 : 由 R。 直接 得 到 L(L;: 一 Ro) ,与 Ri 作为 下 一 轮 的 输入 。 
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上 述 第 二 步 的 置换 过 程 改 变 了 位 的 次 序 ,重复 了 某 些 位 ,使 32 位 变换 为 48 位 ,因此 也 
叫 扩展 置换 (E 盒 变换 ) 。 在 扩展 置换 中 ,对 于 每 个 输入 的 4 位 分 组 ,第 1 和 第 4 位 分 别 表示 
输出 分 组 中 的 2 位 ,第 2 和 第 3 位 分 别 表示 输出 分 组 中 的 1 位 。 比 如 ,处 于 输入 分 组 的 第 3 
位 移 到 了 输出 分 组 的 第 4 位 ,输入 分 组 的 第 4 位 移 到 了 输出 分 组 的 第 5 位 和 第 7 位 。 尽 管 
输出 分 组 大 于 输入 分 组 ,但 每 个 输入 分 组 产生 唯一 的 输出 分 组 。 

第 三 步 的 S 盒 变换 是 将 每 个 S 盒 的 6 位 输入 变换 为 4 位 输出 ,因此 ,48 位 输入 经 过 8 
个 S 盒 变换 ,得 到 32 位 输出 ,该 过 程 也 叫 压 缩 变换 。 表 5.7 中 每 个 S 盒 是 一 个 4 行 16 列 的 
表 , 盒 中 的 每 一 项 都 是 一 个 4 位 二 进 制 数 对 应 的 十 进 制 数 。S 盒 的 6 位 输入 决定 了 其 对 应 
的 输出 在 哪 一 行 哪 一 列 。 比 如 ,6 位 输入 的 第 1 和 第 6 位 组 合 构成 了 2 位 二 进 制 数 ,可 表示 
十 进 制 数 0 一 3, 对 应 着 表 中 的 一 行 ; 6 位 输入 的 第 2 到 第 5 位 组 合 构成 了 4 位 二 进 制 数 ,可 
表示 十 进 制 数 0 一 15, 它 对 应 着 表 中 的 一 列 。 假 设 S 盒 1 的 6 位 输入 是 110100, 其 第 1 位 和 
第 6 位 组 合 为 10, 它 对 应 Si 盒 的 第 2 行 ; 中 间 4 位 组 合 为 1010, 它 对 应 Si 盒 的 第 10 列 。 
Si 盒 的 第 2 行 第 10 列 的 数 是 9, 其 二 进 制 数 为 1001( 注 意 , 行 和 列 的 计数 均 从 0 开始 ) 。 
1001 即 为 输出 , 则 1001 就 代替 了 110100。 

第 四 步 的 线性 置换 也 叫 P 盒 署 换 ,其 置换 规律 如 表 5. 8 所 示 。 这 种 置换 是 每 个 输入 位 
映射 到 一 个 输出 位 ,不 能 映射 多 位 ,也 不 能 丢弃 ,因此 是 线性 变换 。 比 如 ,输入 的 第 16 位 移 
到 输出 的 第 1 位 ,而 输入 的 第 1 位 移 到 输出 的 第 9 位。 

第 五 步 是 将 第 四 步 线性 变换 的 32 位 输出 与 64 位 分 组 的 左 半 部 分 L。 相 异 或 ,然后 左 、 
右 两 部 分 交换 位 置 ,作为 下 一 轮 的 左 ` 右 部 分 L; 和 Ri。 

(4) 逆 初 始 置换 CIP- ) 

道 初始 置换 (也 叫 末 置 换 ) 是 DES 算法 的 最 后 一 步 , 是 一 次 简单 的 数码 换 位 ,也 是 线性 
变换 ,该 变换 与 密 钥 无 关 。 逆 初始 置换 规则 如 表 5. 9 所 示 。 乘 积 变换 过 程 在 16 轮回 后 的 乘 
积 变换 输出 得 到 Le 和 Ris。 将 Las 与 Ras 合 并 为 64 位 码 作为 输入 ,进行 着 初始 置换 , 即 得 到 
64 位 密 文 输出 。 逆 初始 置换 正好 是 初始 置换 的 逆 运 算 , 例 如 ,第 1 位 经 过 初始 置换 后 ,处 于 
第 40 位 ; 而 通过 逆 初 始 置 换 , 又 将 第 40 位 换 回 到 第 1 位 。 逆 初始 置换 的 结果 即 为 一 组 64 
位 密 文 , 该 组 密 文 与 其 他 各 组 明文 加 密 得 到 的 密 文 合 在 一 起 , 即 为 原 报 文 的 加 密 结果 。 


表 5.8 P 盒 置换 表 表 5.9 逆 初 始 置换 
16 7 20 21 40 8 48 16 56 24 64 32 
29 12 28 LL 39 过 47 15 55 23 63 31 
1 15 23 26 38 6 46 14 54 22 62 30 
5 18 31 10 37 5 45 13 53 21 61 29 
2 8 24 14 36 4 44 12 52 20 60 28 
32 27 3 9 35 3 43 Eb 51 19 59 27 
19 13 30 6 34 2 42 10 50 18 58 26 
22 11 4 25 33 1 41 9 49 17 57 25 
2. DES 解密 


DES 的 解密 算法 与 加 密 算 法 相同 ,解密 密 钥 也 与 加 密 密 钥 相同 。 只 是 解密 时 按 逆 向 顺 
序 取 用 加 密 时 使 用 的 密 钥 , 即 加 密 时 第 1 一 16 轮 操 作 使 用 的 子 密 钥 顺序 是 Ki ,K,,…, Kis， 
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而 解密 时 使 用 的 子 密 钥 顺序 是 Kis , Kis ,…, Ki; 产生 子 密 钥 时 的 循环 移 位 是 向 右 的 。 
3. DES 加 密 过 程 的 数学 模型 


LORO = IP(M64) (M64 为 64 位 输入 明文 ) 
Ki= ks(i,key) i=1,2,…,16(ks 表示 密 钥 运算 函数 ,产生 48 位 的 子 密 钥 ) 


Li = Ri-: 
Rs = -1DE(R,-,,K,) fCR-: Ki) 中 涉及 E 盒 变换 .S 盒 变换 .了 盒 变换 和 异 或 运算 等 过 程 
Cu = IP-1(Ie,Re) 


4. DES 解密 过 程 的 数学 模型 


DeRue = IP(Css) 

Ks = k, (i,key) i=16,15,…,1 
Ri-1 = Di 

Li-! = Ri@f(Ri ,Ki) 

Mes = IP™! (Lo ,Ro) 


5. DES 的 特点 及 应 用 


DES 是 迄今 为 止 世 界 上 使 用 最 为 广泛 和 流行 的 一 种 分 组 密码 算法 ,被 公认 为 世界 上 第 
一 个 实用 的 密码 算法 标准 。 它 的 出 现 适应 了 电子 化 和 信息 化 的 要 求 , 也 适合 于 硬件 实现 , 因 
此 该 算法 被 制 成 专门 的 芯片 ,应 用 于 加 密 机 中 。 
DES 算法 具有 算法 容易 实现 .速度 快 . 通 用 性 强 等 优点 ,但 也 存在 密 钥 位 数 少 . 保 密 强 
度 较 差 和 密 钥 管 理 复杂 等 缺点 。 
DES 主要 的 应 用 范围 有 : 
。 计 算 机 网 络 通信 。 对 计算 机 网 络 通信 中 的 数据 提供 保护 是 DES 的 一 项 重要 应 用 。 
但 这 些 被 保护 的 数据 一 般 只 限于 民用 敏感 信息 , 即 不 在 政府 确定 的 保密 范围 之 内 的 
信息 。 
。 电子 资金 传送 系统 。 采 用 DES 的 方法 加 密 电 子 资金 传送 系统 中 的 信息 ,可 准确 、 快 
速 地 传送 数据 ,并 可 较 好 地 解决 信息 安全 的 问题 。 
。 保护 用 户 文件 。 用 户 可 自选 密 钥 ,用 DES 算法 对 重要 文件 加 密 ,防止 未 授权 用 户 窃 密 。 
。 用 户 识别 。DES 还 可 用 于 计算 机 用 户 识 别 系统 中 。 
DES 算法 具体 在 POS、ATM( 自 动 取款 机 ) 、 磁 卡 及 智能 卡 (IC 卡 )、 加 油 站 、 高 速 公路 收 
费 站 等 领域 被 广泛 应 用 ,以 此 来 实现 关键 数据 的 保密 。 如 信用 卡 持 卡 人 的 PIN 的 加 密 传 
输 ,IC 卡 与 POS 间 的 双向 认证 ,金融 交易 数据 包 的 MAC 校 验 等 均 可 使 用 DES 算法 。 
DES 在 问世 后 的 20 多 年 里 ,成 为 密码 界 研究 的 重点 ,经 受 住 了 许多 科学 家 的 研究 和 破 
译 , 在 民用 密码 领域 得 到 了 广泛 的 应 用 。 它 曾 为 全 球 贸易 .金融 等 非 官 方 部 门 提供 了 可 靠 的 
通信 安全 保障 。DES 标准 生效 后 ,规定 每 隔 5 年 由 美国 国家 安全 局 NSA(National Security 
Agency) 进 行 一 次 评估 ,并 确定 它 是 否 继续 作为 联邦 加 密 标准 使 用 ,最 近 的 一 次 评估 是 在 
1994 年 1 月 。DES 的 缺点 是 密 钥 位 数 太 短 (56 位 ) ,而 且 算法 是 对 称 的 ,使 得 这 些 密 钥 中 还 
存在 一 些 弱 密 钥 和 半 弱 密 钥 ,因此 容易 被 采用 穷尽 密 钥 方法 解密 。 此 外 ,由 于 DES 算法 完 
全 公开 ,其 安全 性 完全 依赖 于 对 密 钥 的 保护 ,必须 有 可 靠 的 信道 来 分 发 密 钥 ,如 采用 信使 递 
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送 密 钥 等 。 因 此 ,其 密 钥 管理 过 程 非常 复杂 ,不 适合 在 网 络 环境 下 单独 使 用 ,可 以 与 非 对 称 密 
钥 算法 混合 使 用 。1998 年 5 月 美国 EFF(Electronic Frontier Foundation) 宣 布 ,他 们 以 一 台 价 
值 20 万 美元 的 计算 机 改装 成 的 专用 解密 机 ,用 56 小 时 破译 了 56 位 密 钥 的 DES。 美 国 国家 标 
准 和 技术 协会 在 征集 并 进行 了 几 轮 评估 、 筛 选 后 ,产生 了 称 为 AES(Advanced Encryption 
Standard) 的 新 加 密 标准 。 尽 管 如 此 ,DES 对 推动 密码 理论 的 发 展 和 应 用 毕竟 起 了 重大 作用 ， 
同时 DES 中 的 基本 运算 思路 在 IDEA、TDEA 等 对 称 密 钥 密码 算法 中 得 到 广泛 应 用 ,因此 对 
于 掌握 分 组 密码 的 基本 理论 .设计 思想 和 实际 应 用 仍然 有 着 重要 的 参考 价值 。 


5.33 对 称 密码 体制 的 其 他 算法 简介 


典型 的 对 称 密 钥 密码 算法 有 : DES、TDEA(3DES) ,IDEA、AES、MD5 等 。 
1. TDEA 算法 


针对 DES 算法 密 钥 短 的 问题 ,科学 家 提出 在 DES 的 基础 上 采用 三 重 和 双 密 钥 加 密 的 
方法 ,这 就 是 三 重 DES 算法 TDEA(Triple Data Encryption Algorithm)。 
TDEA 算法 使 用 三 个 密 钥 ,执行 三 次 DES 算 | Is 
法 ,如 图 5.8 所 示 。 加 密 过 程 为 : 
C=Exks (Dk: (Er (M))) 
解密 时 按 密 钥 相反 的 顺序 进行 ,可 表述 为 : Kk Pa 天 
M= Di (Ekz (Dks (C))) a 可 
其 中 M 表示 明文 ,C 表示 密 文 ,Ex (X) 表 示 使 
用 密 钥 K 对 X 进行 加 密 , Dk (X) 表 示 使 用 密 钥 K 图 5.8 三 重 DES 的 加 密 解 密 过 程 
对 密 文 久 解密 。 
TDEA 算法 使 用 两 个 DES 密 钥 K! 和 K; 进行 三 次 DES 的 加 密 , 其 效果 相当 于 将 密 钥 
长 度 增加 一 倍 。 


2. IDEA 算法 


诡 
M 一 ~| ED- EH 


C 


-| D -| E -| D -一 M 


国际 数据 加 密 算 法 (International Data Encryption Algorithm,IDEA) 是 瑞士 的 著名 学 者 提 
出 的 。IDEA 在 1990 年 被 正式 公布 并 在 以 后 得 到 增强 。 这 种 算法 是 在 DES 算法 的 基础 上 发 
展 起 来 的 ,类 似 于 三 重 DES。 发 展 IDEA 也 是 因为 DES 存在 密 钥 太 短 ,容易 被 攻破 等 缺点 。 

类 似 于 DES,IDEA 也 是 一 种 分 组 密码 算法 ,分 组 长 度 为 64 位 ,但 密 钥 长 度 为 128 位 。 
该 算法 是 用 128 位 密 钥 对 64 位 二 进 制 码 组 成 的 数据 组 进行 加 密 的 ,也 可 用 同样 的 密 钥 对 
64 位 密 文 进行 解密 变换 。 

IDEA 与 DES 的 明显 区 别 在 于 循环 函数 和 子 密 钥 生成 不 同 。 对 循环 函数 来 说 ,IDEA 
不 使 用 S 盒 变换 ,而 是 依赖 于 三 种 不 同 的 数学 运算 : XOR、16 位 整数 的 二 进 制 加 法 、16 位 整 
数 的 二 进 制 乘法 。 这 些 函 数 结合 起 来 可 以 产生 复杂 的 转换 ,这 些 转换 很 难 进行 密码 分 析 。 
子 密 钥 生成 算法 完全 依赖 于 循环 移 位 的 应 用 ,但 使 用 方式 复杂 。 

IDEA 算法 设计 了 一 系列 加 密 轮 次 ,每 轮 加 密 都 使 用 从 完整 的 加 密 密 钥 中 生成 的 一 个 
子 密 钥 。 每 轮 次 中 也 使 用 压缩 函数 进行 变换 ,只 是 不 使 用 移 位 置换 。IDEA 中 使 用 异 或 、 模 
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2* 加 法 和 模 2* 十 1 乘法 运算 ,这 三 种 运算 彼此 混合 可 产生 很 好 的 效果 。 运 算 时 IDEA 把 数 
据 分 为 4 个 子 分 组 ,每 个 分 组 16 位 。 

与 DES 的 不 同 之 处 在 于 ,IDEA 采用 软件 实现 和 采用 硬件 实现 同样 快速 。IDEA 的 密 
钥 比 DES 的 多 一 倍 ,增加 了 破译 难度 ,被 认为 是 多 年 后 都 有 效 的 算法 。 

由 于 IDEA 是 在 美国 之 外 提出 并 发 展 起 来 的 , 避 开 了 美国 法 律 上 对 加 密 技 术 的 诸多 限 
制 ,因此 ,有 关 IDEA 算法 和 实现 技术 的 书籍 都 可 以 自由 出 版 和 交流 ,可 极 大 地 促进 IDEA 
的 发 展 和 完善 。 


3. AES 算法 


高 级 加 密 标 准 (Advanced Encryption Standard, AES) 是 由 美国 国家 标准 技术 研究 所 
NIST1997 发 起 征集 的 数据 加 密 标准 , 旨 在 得 到 一 个 非 保密 的 、 全 球 免费 使 用 的 分 组 加 密 算 
法 ,并 能 成 为 替代 DES 的 数据 加 密 标准 。NIST 于 2000 年 选择 了 比利时 两 位 科学 家 提出 的 
Rijndael 作为 AES 的 算法 。 

Rijndael 是 一 种 分 组 长 度 和 密 钥 长 度 都 可 变 的 分 组 密码 算法 ,其 分 组 长 度 和 密 钥 长 度 
都 分 别 可 为 128、192 和 256bit。Rijndael 算法 具有 安全 ,高 效 和 灵活 等 优点 ,使 它 成 为 AES 
最 合适 的 选择 。 

。 安全 性 。Rijndael 算法 的 频数 具有 良好 的 随机 特性 ,其 密 文 比特 服从 0. 5 的 二 项 式 
分 布 ,因此 其 安全 性 大 大 增强 。 它 对 抗 线性 攻击 和 差分 攻击 的 能 力也 很 强 。 

高 效 性 。 由 于 Rijndael 算法 的 线性 和 非 线 性 混合 层 都 采用 和 矩阵 运算 ,并 且 其 变化 的 

轮 数 (8 一 12 轮 ) 较 少 ,使 得 它 具有 很 高 的 速度 。 

。 灵活 性 。Rijndael 满足 了 AES 的 要 求 , 密 钥 长 度 可 为 128bit、192bit 和 256bit, 所 以 
可 根据 不 同 的 加 密级 别 选 择 不 同 的 密 钥 长 度 ; 其 分 组 长 度 也 是 可 变 的 ,这 正好 弥补 
了 DES 的 不 足 ; 其 循环 次 数 允 许 在 一 定 范围 内 根据 安全 要 求 进行 选取 。 这 些 都 体 
现 了 该 算法 的 灵活 性 。 


54 公开 密 钥 密码 体制 


对 称 密 钥 加 密 方法 是 加 密 、 解 密使 用 同样 的 密 钥 ,这 些 密 钥 由 发 送 者 和 接收 者 分 别 保 
存 , 在 加 密 和 解密 时 使 用 。 对 称 密 钥 方 法 的 主要 问题 是 密 钥 的 生成 .管理 、 分 发 等 都 很 复杂 ， 
特别 是 随 着 用 户 的 增加 , 密 钥 的 需求 量 成 倍增 加 。 如 果 网 络 中 有 个 用 户 ,其 中 每 两 个 用 户 
之 间 都 需要 建立 保密 通信 时 , 则 系统 中 所 需 的 密 钥 总 数 达 n(n 一 1)/2 个 密 钥 ,如 果 两 个 用 户 
之 间 可 能 有 多 次 通信 ,而 每 次 通信 的 密 钥 又 不 能 一 样 ,这 样 网 络 中 需要 的 密 钥 数 又 将 大 量 增 
加 。 在 网 络 通信 中 ,大 量 密 钥 的 分 配 和 保管 是 一 个 很 复杂 的 问题 。 


54.1 公开 密 钥 密码 的 概念 


1 公 钥 体制 的 概念 


美国 斯 坦 福 大 学 两 名 学 者 W. Diffie 和 M. Hellman 于 1976 年 在 IEEE Trans. on Information 
刊物 上 发 表 了 “New Direction in Cryptography” 文 章 ,提出 了 “公开 密 钥 密码 体制 ”的 概念 ， 
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开创 了 密码 学 研究 的 新 方向 。 公 开 密 钥 密 码 体制 的 产生 主要 有 两 个 方面 的 原因 : 一 是 由 于 
对 称 密 钥 密码 体制 的 密 钥 分 配 问题 ; 另 一 个 是 由 于 对 数字 签名 的 需求 。 

与 对 称 密 钥 加 密 方 法 不 同 , 公 开 密 钥 密码 系统 采用 两 个 不 同 的 密 钥 来 对 信息 加 密 和 解 
密 。 加 密 密 钥 与 解密 密 钥 不 同 ,由 其 中 一 个 不 容易 得 到 另 一 个 。 通 常 ,在 这 种 密码 系统 中 ， 
加 密 密 钥 是 公开 的 ,解密 密 钥 是 保密 的 ,加 密 和 解密 算法 都 是 公开 的 。 每 个 用 户 有 一 个 对 外 
公开 的 加 密 密 钥 K.( 称 为 公 钥 ) 和 对 外 保密 的 解密 密 钥 Ks( 称 为 私 钥 )。 因 此 这 种 密码 体制 
又 叫 非 对 称 密 码 体制 .公开 密 钥 密码 体制 。 

虽然 解密 密 钥 理论 上 可 由 加 密 密 钥 推 算出 来 ,但 这 种 算法 设计 在 实际 上 是 不 可 能 的 ; 
或 虽然 能 够 由 加 密 推算 出 解密 算法 ,但 要 花费 很 长 时 间 因 而 使 解密 出 的 信息 失去 时 效 性 变 
得 毫 无 意义 。 所 以 ,将 加 密 密 钥 公开 也 不 会 危害 密 钥 的 安全 。 公 开 密 钥 加 密 算法 和 解密 算 
法 都 是 公开 的 。 虽 然 保 密 密 钥 是 由 公开 密 钥 决定 的 ,但 却 不 能 由 公开 密 钥 计算 出 来 。 

自 公 钥 加 密 体制 问世 以 来 ,学 者 们 提出 了 许多 种 公 钥 加 密 方法 ,如 RSA、 背 包 算 法 、 
Elgamal、Rabin、DH 等 ,它们 的 安全 性 都 是 基于 复杂 的 数学 难题 。 根 据 所 基于 的 数学 难题 
来 区 分 ,有 以 下 三 类 系统 算法 目前 被 认为 是 安全 和 有 效 的 : 大 整数 因子 分 解 系统 (代表 性 算 
法 是 RSA) ,椭圆 曲线 离散 对 数 系统 (ECC) 和 离散 对 数 系统 (代表 性 算法 是 DSA)。 

当前 最 著名 、 应 用 最 广泛 的 公 钥 系统 的 密码 算法 是 RSA, 它 的 安全 性 是 基于 大 整数 因 
子 分 解 的 困难 性 ,而 大 整数 因子 分 解 问题 是 数学 上 的 著名 难题 ,至今 没 有 有 效 的 方法 予以 解 
决 , 因 此 可 以 确保 RSA 算法 的 安全 性 。 

椭圆 曲线 加 密 算法 ECC(Elliptic Curve Cryptography) 是 基于 离散 对 数 计算 的 困难 性 。 
椭圆 曲线 加 密 方法 ECC 与 RSA 方法 相 比 ,具有 安全 性 能 更 高 .运算 量 小 、 处 理 速度 快 、 占 用 
存储 空间 小 、 带 宽 要 求 低 等 优点 。 因 此 ,ECC 系统 是 一 种 安全 性 更 高 .算法 实现 性 能 更 好 的 
公 钥 系统 。 

数字 签名 算法 (Data Signature Algorithm,DSA) 是 基于 离散 对 数 问题 的 数字 签名 标 
准 , 它 仅 提供 数字 签名 功能 ,不 提供 数据 加 密 功 能 。 


2. 公 钥 体制 的 特征 


。 用 K。 对 明文 加 密 后 ,再 用 Ks 解密 , 即 可 恢复 出 明文 , 即 

M=Dra{ Exe (M)} 
加 密 和 解密 运算 可 以 对 调 , 即 

M= Dra {Ere (M)} = Ex {Dra(M)} 

但 加 密 密 钥 不 能 用 来 解密 , 即 

M 天 Drke{EkaC(M)} 
在 计算 上 很 容易 产生 密 钥 对 K。 和 Ku ,但 已 知 K。 不 能 推导 出 Ka ,或 者 说 从 K。 得 到 
Ks 是 “计算 上 不 可 能 的 ”。 


3. 公 铀 算法 的 应 用 

使 用 公开 密 钥 对 文件 进行 加 密 传输 的 实际 过 程 包括 如 下 4 个 步骤 : 

。 发 送 方 生成 一 个 加 密 数 据 的 会 话 密 钥 , 并 用 接收 方 的 公开 密 钥 对 会 话 密 钥 进行 加 
密 , 然 后 通过 网 络 传输 到 接收 方 。 
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。 接收 方 用 自己 的 私 钥 进行 解密 后 得 到 加 密 文 件 的 会 话 密 钥 。 
。 发 送 方 对 需要 传输 的 文件 用 自己 的 私 钥 进行 加 密 , 然 后 通过 网 络 把 加 密 后 的 文件 传 
输 到 接收 方 。 

。 接收 方 用 会 话 密 钥 对 文件 进行 解密 得 到 文件 的 明文 形式 。 

因为 只 有 接收 方才 拥有 自己 的 私 钥 , 所 以 即使 其 他 人 得 到 了 经 过 加 密 的 会 话 密 钥 ,也 因 
为 他 没有 接收 方 的 私 钥 而 无 法 进行 解密 ,就 得 不 到 会 话 密 钥 , 从 而 也 保证 了 传输 文件 的 安全 
人 性。 实际 上 ,在 上 述 文件 传输 过 程 中 实现 了 两 个 加 密 解密 过 程 : 文件 本 身 的 加 密 和 解密 与 
会 话 密 钥 的 加 密 和 解密 ,这 分 别 通过 对 称 密 码 体 制 的 会 话 密 钥 与 公开 密 钥 密 码 体制 的 私 钥 
和 公 钥 来 实现 。 


542 数论 基础 


1. 模 运算 


我 们 在 日 常生 活 中 常会 遇 到 这 样 的 问题 ; 两 人 上 午 9 时 相约 ,要 在 5 个 小 时 后 在 某 处 
相 见 。 那 么 这 个 相 见 的 5 小 时 后 的 具体 时 间 应 该 是 14 时 ,也 就 是 下 午 2 时 。 这 里 14 时 和 2 
时 应 该 是 一 个 时 间 , 但 它们 是 怎么 计算 的 ,它们 怎么 会 相等 呢 ? 这 就 可 由 * 模 ”的 概念 解释 
了 。 时 钟 是 以 12 小 时 为 一 轮回 的 ,也 就 是 时 钟 计算 是 模 12 的 。 该 计算 为 : 
9 十 5 一 14 一 2(mod 12) 
即 14 模 12 等 于 2。 该 关系 也 可 以 写成 : 
14 三 2(mod 12) 
车 a 二 5b 十 kn 对 某 些 整 数 k 成 立 , 则 a 三 5 (mod n )。 如 果 a 为 正 ,5b 在 0 和 之 间 , 则 可 
将 5 看 做 a 被 n 整除 后 的 余数 ,可 称 5 为 a 模 n 的 余数 ,或 a 与 5 是 模 n 的 同 余 。 
模 运算 与 普通 运算 一 样 ,也 是 可 交换 、 可 结合 和 可 分 配 的 , 且 简 化 运算 每 一 个 中 间 结 果 
的 模 运算 ,其 作用 与 先进 行 全 部 运算 后 ,再 简化 模 n 运算 是 一 样 的 。 如 : 
(at+ modn= ((a modn)+(b modn))modn 
(axb)modn= ((a modn) Xx (b mod n))modn 
(ax b+Omodn= (((axb)modn)+t+((ax)modn))modn 
密码 学 中 用 了 很 多 模 n 运算 ,因为 像 计 算 离 散 对 数 和 平方 根 这 样 的 问题 很 困难 ,而 模 运 
算 可 将 所 有 的 中 间 结 果 和 最 后 结果 限制 在 一 个 范围 内 .所 以 用 它 进行 计算 比较 容易 。 对 于 
一 个 上 位 的 模 数 ,任何 运算 的 中 间 结 果 将 不 会 超过 2k 位 长 ,因此 可 以 用 模 运 算 进行 指数 
运算 而 不 会 产生 巨大 的 中 间 结 果 。 


2. 素数 


素数 是 一 种 比 1 大 、 其 因子 只 有 1 和 它 本 身 的 正 整数 ,没有 其 他 数 可 以 整除 素数 , 即 素 
数 是 一 个 只 能 被 1 和 它 本 身 整 除 的 正 整 数 。2、3、5、7、11 等 都 是 简单 的 素数 。 其 他 如 113、 
131、…、2521、.2365347734339、2"ss 一] 等 也 都 是 素数 ,素数 是 无 限 的 。 在 密码 学 中 ,特别 
是 在 公开 密 钥 密码 学 中 常用 大 的 素数 ,有 512 位 、1024 位 ,甚至 更 长 。 

在 有 限 位 的 整数 中 ,素数 的 数目 也 很 庞大 ,比如 在 长 度 为 512 位 的 二 进 制 数 中 有 超过 
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10"” 个 素数 。 
3. 两 数 互 素 


两 个 数 互 素 是 指 当 它们 除了 1 之 外 没有 共同 的 因子 , 即 若 两 个 数 的 最 大 公 因 子 数 为 1， 
则 这 两 个 数 互 素 。 如 果 a 和 的 最 大 公 因 子 是 1, 则 可 写 做 : 
gcd(a,z) 一 1 
15 与 32 是 互 素 的 ,18 与 35 也 是 互 素 的 ,而 15 与 33 就 不 是 互 素 的 ,因为 它们 有 共同 的 
公 因 子 “3”。 一 个 素数 与 它 的 倍数 以 外 的 任何 其 他 数 都 是 互 素 的 。 
计算 两 个 数 最 大 公 因 子 的 最 容易 方法 是 用 欧 几 里 德 算 法 。 该 算法 在 2500 多 年 前 被 提 
出 ,也 是 到 现在 幸存 的 最 古老 的 非凡 算法 ,至 今 仍 是 完好 的 。 


4. 求 模 逆 元 


什么 是 逆 元 呢 ? 对 于 算术 加 法 来 说 ,5 和 一 5 互 为 逆 元 ,因为 5 十 (一 5) 二 0; 对 于 乘法 来 
说 ,4 的 道 元 是 1/4, 因 为 4X1/4 二 1。 所 谓 的 道 元 ,相对 不 同 的 运算 ,其 含义 是 不 同 的 。 

在 模 运算 领域 ,该 问题 更 复杂 。 如 果 

a Xb 三 1 (mod n), 也 可 写成 
b=a (modn) 
可 以 说 ,a 与 b 对 于 模 n 的 乘法 是 互 为 逆 元 的 。 
解决 逆 元 的 问题 很 复杂 ,有 时 有 结果 ,有 时 没有 结果 。 比 如 5 模 14 的 逆 元 是 3, 因 为 
5X3=15 三 1 (mod 14) 
而 2 模 12 则 没有 道 元 。 

一 般 , 如 果 a 和 nn 是 互 素 的 ,那么 a7!' 二 5 (mod 2) 有 唯一 解 , 即 存在 唯一 的 逆 元 ; 如 果 a 
入 不 是 互 素 的 ,那么 a = (mod n) 没 有 解 , 即 没有 道 元 ; 如 果 是 一 个 素数 , 则 从 1 到 
n 一 1 的 每 一 个 数 与 都 是 互 素 的 , 且 在 这 个 范围 内 各 有 一 个 逆 元 。 

计算 逆 元 有 一 系列 方法 , 欧 几 里 德 算法 就 是 其 中 之 一 。 在 公开 密 钥 密 码 体制 的 RSA 算 
法 中 ,就 是 用 欧 几 里 德 算法 求 逆 元 的 。 


5. 欧 拉 函数 和 费 尔 马 小 定理 


还 有 另 一 种 方法 计算 逆 元 ,但 不 是 任何 情况 下 都 可 以 使 用 ,这 就 是 欧 拉 (Euler) 函数 。 

模 的 余数 化 简 集 是 余数 完全 集合 的 子 集 ,该 子 集中 的 数 与 互 素 。 例如, 模 12 的 余 
数 化 简 集 是 {1,5,7,11) ,如 果 n 是 素数 ,那么 模 的 余数 化 简 集 是 从 1 到 "一 1 的 所 有 整数 
集合 。 对 nn 不 等 于 1 的 数 , 数 0 不 是 余数 化 简 集 的 元 素 。 

欧 拉 函数 ( 记 为 $8(n)) ,表示 模 n 的 余数 化 简 集 中 元 素 的 数目 , 即 $(n) 表 示 与 n 互 素 的 
小 于 7 的 正 整数 的 数目 (二 1) 。 

如 果 n 是 素数 ,那么 (mn) 二 n 一 1; 如 果 n 二 pXg, 且 p 和 9g 互 素 ,那么 (mw) 二 (p 一 1)(g 一 1)。 

如 果 是 一 个 素数 , 且 a 不 是 的 倍数 , 则 有 

a”! 二 1] (modn) 
这 就 是 费 尔 马 小 定理 。 因 此 ,可 以 利用 0 一 ax”-:(mod n) 来 计算 a 模 nn。 
例如 ,计算 5 模 7 的 逆 元 。7 是 素数 ,®(7) 二 7 一 1 二 6。 因 此 模 7 的 逆 元 是 
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5 和 一 55 一 3mod7 
计算 逆 元 的 两 种 方法 都 可 以 推广 到 一 般 性 的 问题 中 求解 5( 如 果 gcd(a,n) 二 1): 

(aXb)= 7 (modn) 
用 欧 拉 函数 求解 逆 元 : 

b= (zrXa™!) modn 
用 欧 几 里 德 算法 求解 逆 元 : 
b= (rxX(a! modn)) modn 
通常 欧 几 里 德 算 法 在 计算 逆 元 方面 比 欧 拉 函 数 更 快 ,特别 是 对 于 500 位 范围 内 的 数 。 
如 果 gcd(a,n) 取 1, 也 并 非 一 切 都 无 用 。 在 这 种 情况 下 ,(aX5b) 二 x (mod n), 可 能 有 多 
个 解 或 无 解 。 


6. 因子 分 解 


对 于 一 个 数 进行 因子 分 解 ,就 是 找 出 其 各 个 素数 因子 ,如 : 15 二 3X5,80 二 2X2X2Xx 
2X5,252601 二 41X61X101 等 。 

在 数论 中 ,因子 分 解 是 一 个 古老 的 问题 。 分 解 一 个 数 很 简单 ,但 其 过 程 很 费时 。 目 前 最 
好 的 因子 分 解 算法 有 : 

。 数 域 筛选 法 : 对 大 于 110 位 字 长 的 数 , 数 域 筛选 法 是 已 知 的 最 快 的 因子 分 解 算 法 。 
当 它 最 初 被 提出 时 ,还 不 算 实用 ,但 随 着 后 来 的 一 系列 改进 ,成 为 新 的 一 种 因子 分 解 
实用 算法 。 
二 次 筛选 法 : 对 于 低 于 110 位 的 十 进 制 数 ,二 次 筛选 法 是 已 知 的 最 快 算法 , 且 已 得 到 
广泛 应 用 。 该 算法 最 快 的 版 本 叫 多 重 多 项 式 二 次 筛选 的 双重 大 素数 算法 。 

。 椭圆 曲线 法 : 该 算法 曾 用 于 寻找 43 位 长 数字 的 因子 ,对 于 更 大 的 数 是 无 用 的 。 

此 外 ,还 有 蒙特 卡 罗 算 法 、 连 分 式 算法 , 试 除法 等 因子 分 解 算法 。 

1994 年 科学 家 用 多 重 多 项 式 二 次 筛选 的 双重 大 素数 算法 ,分 解 了 一 个 129 位 的 十 进 制 
数 ,这 是 在 Internet 上 由 600 人 及 1600 台 机 器 完成 的 ,整个 过 程 花费 8 个 月 时 间 。 这 些 计 
算 机 之 间 通 过 电子 邮件 进行 通信 ,将 各 自 的 运行 结果 发 送 到 中 心智 囊 团 ,由 中 心智 宫 团 进行 
最 后 分 析 。 该 次 运算 是 使 用 了 二 次 筛选 法 和 当时 五 年 前 的 旧 理 论 ,如果 使 用 数 域 筛选 法 ,可 
能 只 花费 十 分 之 一 的 时 间 。 


543 RSA 算 法 简介 


1. RSA 算 法 


目前 ,最 著名 的 公开 密 钥 密码 算法 是 RSA, 它 是 由 美国 MIT 的 3 位 科学 家 Rivest、 
Shamir 和 Adleman 于 1976 年 提出 , 故 名 RSA, 并 在 1978 年 正式 发 表 。RSA 系统 是 公 钥 系 
统 的 最 具有 典型 意义 的 方法 ,大 多 数 使 用 公 钥 密码 进行 加 密 和 数字 签名 的 产品 和 标准 使 用 
的 都 是 RSA 算法 。RSA 算法 的 优点 主要 在 于 原理 简单 ,易于 使 用 。 该 算法 所 根据 的 原理 
是 数论 知识 : 寻求 两 个 大 素数 比较 简单 ,而 将 它们 的 乘积 分 解 则 极其 困难 。 

RSA 是 建立 在 素数 理论 (Euler 函数 和 欧 几 里 德 定理 ) 基 础 上 的 算法 。 
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在 此 不 介绍 RSA 的 理论 基础 (复杂 的 数学 分 析 和 理论 推导 ) ,只 简单 介绍 密 钥 的 选取 和 
加 、 解 密 的 实现 过 程 。 

假设 用 户 A 在 系统 中 要 进行 数据 加 密 和 解密 , 则 可 根据 以 下 步骤 选择 密 钥 和 进行 加 / 
解密 变换 : 

(1) 随机 地 选取 两 个 不 同 的 大 素数 户 和 4( 一 般 为 100 位 以 上 的 十 进 制 数 ) 了 予以 保密 。 

(2) 计算 n 二 p* dg, 作为 A 的 公开 模 数 。 

(3) 计算 Euler 函数 

Bn) = (pp 1).(g—1) (modn) 
(4) 随机 地 选取 一 个 与 (p 一 1)。(g 一 1) 互 素 的 整数 e, 作 为 A 的 公开 密 钥 。 
(5) 用 欧 几 里 德 算 法 ,计算 满足 同 余 方 程 
e*d=1(mod PB(n)) 


的 解 d, 作 为 A 的 保密 密 钥 。 
(6) 任何 向 A 发 送 明文 的 用 户 , 均 可 用 A 的 公开 密 钥 。 和 公开 模 数 ,根据 式 
C 一 MeCmod 7) 
得 到 密 文 C。 
(7) 用 户 A 收 到 C 后 ,可 利用 自己 的 保密 密 钥 d, 根 据 
M = Ci(mod n) 
得 到 明文 M。 


2. RSA 算法 举例 


现 以 RSA 算法 为 例 , 对 明文 “HI? 进 行 加 密 : 

(1) 选 密 钥 

设 p=5,g==11, 则 n=55,@@(n) 二 40。 

取 e 王 3( 公 钥 ), 则 可 得 

d 二 27(mod 40) ( 私 钥 ) 

(2) 加 密 

设 明 文 编码 为 : 空格 天 00,A=01,B 王 02,…,Z 王 26,. 则 明文 HI 二 0809。 
C1=(08)’=512=17(mod 55) 
C:=(09)’=729=14(mod 55) 

因为 Q=17,N=14, 所 以 ,“HI” 的 密 文 为 “QN”。 
(3) 恢复 明文 

Mi=C!=(17)”=08(mod 55) 
M,=C!=(14)”=09(mod 55) 

因为 H==08,1 二 09, 所 以 ,明文 为 “HI”。 


3. RSA 算法 的 特点 及 应 用 


RSA 算法 具有 密 钥 管 理 简 单 ( 网 上 每 个 用 户 仅 保 密 一 个 密 钥 , 且 不 需 密 钥 配 送 )、 便 于 
数字 签名 、 可 靠 性 较 高 (取决 于 分 解 大 素数 的 难 易 程度 ) 等 优点 ,但 也 具有 算法 复杂 、 加 密 / 解 
密 速 度 慢 、 难 以 用 硬件 实现 等 缺点 。 因 此 , 公 钥 密码 体制 通常 被 用 来 加 密 关键 性 的 、 核 心 的 、 
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少量 的 机 密 信息 ,而 对 于 大 量 要 加 密 的 数据 通常 采用 对 称 密码 体制 。 

RSA 算法 的 安全 性 建立 在 难以 对 大 整数 提取 因子 的 基础 上 ,研究 表明 大 整数 因 式 分 解 
问题 是 一 个 极其 困难 的 问题 。 但 是 , 随 着 分 解 大 整数 方法 的 进步 及 完善 .计算 机 速度 的 提高 
以 及 计算 机 网 络 的 发 展 ,对 RSA 加 密 /解密 安全 保障 的 大 整数 要 求 越 来 越 大 。 

RSA 算法 的 保密 性 ,取决 于 对 大 素数 因 式 分 解 的 时 间 。 假 定 用 10* 次 /s 的 计算 机 进行 
运算 ,用 最 快 的 公式 分 解 zx 一 100 位 十 进 制 数 要 用 74 年 ,分 解 200 位 数 用 3. 8X10? 年 。 可 
见 , 当 足够 大 时 (p 和 g 各 为 100 位 时 ,n 为 200 位 ), 对 其 进行 分 解 是 很 困难 的 。 可 以 说 ， 
RSA 的 保密 强度 等 价 于 分 解 n 的 难 易 程度 。 

RSA 算法 为 公用 网 络 上 信息 的 加 密 和 鉴别 提供 了 一 种 基本 的 方法 。 它 通常 是 先生 成 
一 对 RSA 密 钥 ,其 中 之 一 是 保密 密 钥 , 由 用 户 保存 ; 另 一 个 为 公开 密 钥 ,可 对 外 公开 ,甚至 
可 在 网 络 服务 器 中 注册 。 


544 混合 加 密 方 法 


对 称 密码 系统 的 安全 性 依赖 于 以 下 两 个 因素 : 第 一 ,加 密 算法 必须 是 足够 强 的 ,仅仅 基 
于 密 文 本 身 去 解密 信息 在 实践 上 是 不 可 能 的 ; 第 二 ,加 密 系统 的 安全 性 依赖 于 密 钥 的 保密 
性 ,而 不 是 算法 的 保密 性 。 对 称 加 密 系 统 的 算法 实现 速度 很 快 ,软件 实现 的 速度 都 可 达到 每 
秒 数 兆 或 数 十 兆 比 特 。 对 称 密码 系统 的 这 些 特 点 使 其 有 着 广泛 的 应 用 。 因 为 算法 不 需要 保 
密 , 所 以 制造 商 可 以 开发 出 低 成 本 的 芯片 以 实现 数据 加 密 。 这 些 芯片 有 着 广泛 的 应 用 ,适合 
于 大 规模 生产 。 对 称 加 密 系 统 最 大 的 问题 是 密 钥 的 分 发 和 管理 非常 复杂 、 代 价 高 晶 。 对 于 
大 型 网 络 , 密 钥 的 分 配 和 保存 就 成 了 大 问题 。 对 称 加 密 算法 另 一 个 缺点 是 不 便于 实现 数字 
签名 。 

公开 密 钥 密码 系统 的 优点 是 密 钥 管理 方便 (具有 个 用 户 的 网 络 , 仅 需要 2n 个 密 钥 ) 和 
便于 实现 数字 签名 。 因 此 ,最 适合 于 电子 商务 等 应 用 需要 。 但 是 ,因为 公开 密 钥 密 码 系统 是 
基于 尖端 的 数学 难题 ,计算 非常 复杂 ,其 加 密 /解密 速度 远 低 于 对 称 密 钥 加 密 系统 。 因 此 ,在 
实际 应 用 中 ,公开 密 钥 密码 系统 并 没有 完全 取代 对 称 密 钥 密码 系统 。 而 是 采用 对 称 密 钥 加 
密 方法 与 公开 密 钥 加 密 方法 相 结合 (混合 ) 的 方式 ,如 图 5.9 所 示 。 


B 的 公 钥 B 的 私 钥 | 
| 加 密 后 的 | 
加 密 。 | 对称 密 钥 | 加密”| 
前 “|( 公 钥 算 法 ) “|( 公 铀 算法 )| “| 项 
明文 .| ”加 密 _[ 肌 雷 | 明文 
(对 称 算法 ) 密 文 (对 称 算法 ) 


图 5.9 两 种 密码 体制 的 混合 应 用 


这 种 混合 加 密 方式 可 以 较 好 地 解决 加 密 / 解 密 运算 速度 问题 和 和 密 钥 分 配 管理 问题 ,其 原 
理 是 : 在 发 送 端 先 使 用 DES 或 IDEA 对 称 算法 加 密 数 据 ,然后 使 用 公开 算法 RSA 加 密 前 
者 的 对 称 密 钥 ; 到 接收 端 , 先 使 用 RSA 算法 解密 出 对 称 密 钥 ,再 用 对 称 密 钥 解密 被 加 密 的 
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数据 。 要 加 密 的 数据 量 通 常 很 大 ,但 因 使 用 对 称 算法 对 每 个 分 组 的 处 理 仅 需 很 短 的 时 间 就 
可 完成 ,因此 对 大 量 数 据 的 加 密 /解密 不 会 影响 效率 (车 使 用 DES 加 密 芯 片 , 则 速度 会 更 
快 ); 用 RSA 算法 将 对 称 密 钥 加 密 后 就 可 公开 了 ,而 RSA 的 加 密 密 钥 也 可 以 公开 ,整个 系 
统 需 保密 的 只 有 少量 RSA 算法 的 解密 密 钥 , 因 此 这 些 密 钥 在 网 络 中 就 很 容易 被 分 配 和 传输 
了 ; 又 因为 对 称 密 钥 的 数据 量 很 少 (64/128 位 ) ,RSA 只 需 对 其 做 1 一 2 个 分 组 的 加 密 /解密 
即 可 ,也 不 会 影响 系统 效率 的 。 因 此 ,使 用 这 种 混合 加 密 方式 既 可 以 体现 对 称 算 法 速度 快 的 
优势 ,也 可 发 挥 公 钥 算 法 密 钥 管理 方便 的 优势 ,二 者 各 取 其 优 , 扬 长 避 短 。 


55 密 钥 管理 


在 现代 密码 学 研究 中 ,加 密 算法 和 解密 算法 一 般 都 是 公开 的 。 当 合理 的 密码 算法 确定 
后 ,密码 系统 的 保密 程度 就 完全 取决 于 密 钥 的 保密 程度 。 因 此 , 密 钥 管理 在 整个 保密 系统 中 
占有 重要 地 位 。 若 密 钥 得 不 到 合理 的 保护 和 管理 ,即使 算法 再 复杂 ,保密 系统 也 是 脆弱 的 。 
密 钥 管理 的 目的 就 是 要 保证 数据 保密 系统 的 安全 性 。 

密 钥 管理 包括 密 钥 的 产生 、 密 钥 的 存储 和 保护 、 密 钥 的 更 新 、 密 钥 的 分 发 . 密 钥 的 验证 、 
密 钥 的 使 用 和 密 钥 的 销毁 等 。 这 些 问 题 的 本 质 就 是 要 正确 地 解决 密 钥 从 产生 到 使 用 全 过 程 
的 安全 性 和 实用 性 。 

密 钥 管 理 最 主要 的 过 程 是 密 钥 的 产生 、 保 护 和 分 发 。 


55.1 密 钥 的 产生 


密码 算法 的 安全 性 依赖 于 密 钥 , 如 果 采 用 一 个 弱 的 密 钥 生 成 方法 ,那么 整个 加 密 体制 就 
是 弱 的 。 因 为 弱 的 密 钥 生 成 算法 容易 被 破译 ,密码 分 析 者 在 破译 了 密 钥 后 不 用 再 去 试图 破 
译 算法 就 可 以 得 到 他 想 要 的 东西 了 。 因 此 , 密 钥 的 产生 是 密 钥 管理 中 的 基本 问题 。 

好 的 密 钥 是 指 那些 由 自动 处 理 设备 生成 的 随机 字符 串 。 密 钥 的 生成 首先 要 保证 所 产生 
的 密 钥 具有 良好 的 随机 性 ,避免 出 现 简单 .明显 的 密 钥 或 一 串 容 易 记 忆 的 字符 或 数字 。 现 代 
网 络 的 信息 量 越 来 越 大 ,需要 的 密 钥 量 也 很 大 ,因此 密 钥 的 产生 要 能 自动 地 ,大 量 地 进行 。 

密 钥 的 产生 主要 利用 噪声 源 技术 ,该 技术 就 是 产生 二 进 制 随机 序列 或 与 之 对 应 的 随机 
数 。 其 主要 理论 基础 是 混沌 理论 。 使 用 随机 序列 发 生 器 可 以 自动 地 产生 大 量 的 随机 密 钥 。 


552 密 钥 的 保护 和 分 发 


1. 密 钥 的 分 层 保护 


密 钥 的 分 层 保护 也 叫 主 密 钥 保 护 体制 , 它 是 以 对 称 密 钥 为 基础 的 管理 体制 。 该 体制 可 
把 密 钥 分 为 儿 层 ,高 一 层 密 钥 保护 低 一 层 密 钥 。 

一 般 把 密 钥 分 为 主 密 钥 、 辅 助 主 密 钥 和 会 话 密 钥 三 个 层次 。 每 个 主 密 钥 对 多 个 辅助 主 
密 钥 进 行 加 密 保护 ,每 个 辅助 主 密 钥 对 多 个 会 话 密 钥 进行 加 密 保护 。 最 后 ,再 用 会 话 密 钥 对 
传输 的 具体 信息 进行 加 密 保护 。 
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该 体制 的 思想 就 是 把 网 络 中 大 量 使 用 的 会 话 密 钥 置 于 辅助 主 密 钥 的 保护 之 下 ,再 由 极 
少量 的 主 密 钥 保护 辅助 主 密 钥 。 经 过 这 样 的 保护 后 ,在 接收 端 各 通信 点 经 过 相应 的 解密 得 
到 通信 所 用 的 会 话 密 钥 。 这 种 层次 型 密 钥 保护 体制 可 使 会 话 密 钥 更 安全 。 

整个 网 络 的 密 钥 保护 与 传输 都 由 计算 机 控制 ,实现 密 钥 管理 的 自动 化 。 


2. 会 话 密 钥 的 分 发 和 保护 


在 用 户 A 与 B 的 通信 系统 中 ,可 采用 如 下 步骤 分 发 和 保护 会 话 密 钥 : 

(1) 用 户 A 产生 自己 的 公 钥 K。 和 私 钥 Ku 。 

(2) 用 户 A 将 K。 传输 给 用 户 B。 

(3) 用 户 B 用 A 的 公 钥 K。 加 密 自己 产生 的 一 个 会 话 密 钥 K, ,并 传输 给 A。 
(4) 用 户 A 用 自己 的 私 钥 Ks 解密 后 得 到 K,。 

(5) 用 户 A 用 KK, 加 密 要 发 给 B 的 数据 ; 通信 结束 后 ,K, 被 清除 。 


5.5.3 网 络 环境 下 的 密 钥 管理 算法 


Kerberos 是 一 种 使 用 对 称 密 钥 加 密 算法 实现 通过 可 信任 的 第 三 方 密 钥 分 配 中 心 (Key 
Distribute Center,KDC) 的 身份 验证 系统 。Kerberos 的 主要 功能 之 一 是 解决 保密 密 钥 的 管 
理 与 分 发 问题 。 

Kerberos 中 有 三 个 通信 参与 方 : 需要 验证 身份 的 通信 双方 和 一 个 双方 都 信任 的 第 三 
方 , 即 KDC。KDC 可 以 看 做 一 个 秘密 密 钥 源 , 与 DES 一 起 使 用 ; 也 可 以 是 一 个 公开 密 
钥 源 。 

Kerberos 就 是 建立 在 这 个 安全 的 、 可 信赖 的 KDC 概念 之 上 的 。 建 有 KDC 的 系统 用 户 
只 需 保管 与 KDC 之 间 使 用 的 密 钥 加 密 密 钥 一 一 与 KDC 通信 的 密 钥 即 可 。 

KDC 的 工作 过 程 简 述 如 下 : 

(1) 假设 用 户 A 要 与 B 通 信 ,A 先 向 KDC 提出 申请 与 B 的 联系 和 通信 会 话 密 钥 。 

(2) KDC 为 用 户 A 和 也 选择 一 个 会 话 密 钥 K,. 分 别 用 A 和 B 知道 的 密 钥 进行 加 密 , 然 
后 分 别传 送 给 A 和 了 B。 

(3) 用 户 A 和 也 得 到 KDC 加密 过 的 信息 后 ,分 别 解密 之 ,得 到 会 话 密 钥 K,。 

(4) 至 此 ,用 户 A 与 B 即 可 利用 KK 进行 保密 通信 了 ; 通信 结束 后 ,K, 随即 被 销毁 。 

目前 ,各 主要 操作 系统 都 支持 Kerberos 验证 系统 ,比如 Windows NT。Kerberos 实际 
上 已 成 为 工业 界 的 事实 标准 。Kerberos 使 用 对 称 密 钥 算法 来 实现 通过 KDC 的 验证 服务 ， 
它 提供 了 网 络 通信 方 相互 验证 身份 的 手段 , 且 并 不 依赖 于 主机 操作 系统 和 地 址 。 


56 网 络 保密 通信 
561 通信 安全 


虽然 网 络 可 以 使 经 济 、 文 化 .医疗 、 科 学、 教育 、 交 通 等 领域 的 信息 更 加 有 效 和 迅速 地 被 
获取 、 传 输 和 应 用 ,但 如 果 网 络 系统 和 用 户 缺 乏 适 当 的 安全 保护 措施 ,这 些 信 息 就 很 容易 在 
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传输 过 程 中 被 非法 获取 ,以 及 网 络 系统 的 其 他 资源 被 破坏 等 ,从 而 使 系统 遭受 重大 损失 。 为 
使 网 络 系统 资源 被 充分 利用 ,要 保证 网 络 系统 有 很 好 的 通信 安全 。 要 保证 系统 的 通信 安全 ， 
就 要 充分 认识 到 网 络 系统 的 脆弱 性 ,特别 是 网 络 通信 系统 和 通信 协议 的 弱点 ,估计 到 系统 可 
能 遭受 的 各 种 威胁 ,采取 相应 的 安全 策略 , 尽 可 能 地 减少 系统 面临 的 各 种 风险 ,保证 计算 机 
网 络 系统 具有 高 度 的 可 靠 性 、 信 息 的 完整 性 和 保密 性 。 

网 络 通信 系统 可 能 面临 各 种 各 样 的 威胁 ,如 来 自 各 种 自然 灾害 、 系 统 环境 、 人 为 破坏 和 
误 操 作 等 。 所 以 ,要 保护 网 络 通信 安全 ,不 仅 必须 要 克服 各 种 自然 和 环境 的 影响 ,更 重要 的 
是 要 防止 人 为 因素 造成 的 威胁 。 


1. 线路 安全 


通信 过 程 中 ,通过 在 通信 线路 上 搭 线 可 以 窃取 (窃听 ) 传 输 信息 ,还 可 以 使 用 相应 设施 收 
集 线 路 上 辐射 的 信息 ,这 些 就 是 通信 中 的 线路 安全 问题 。 可 以 采取 相应 的 措施 保护 通信 线 
路 安全 。 

一 种 简单 但 很 昂贵 的 电缆 加 压 技 术 可 保护 通信 和 电缆 安全 ,该 技术 是 将 通信 和 电缆 密封 在 
塑料 套 里 深 埋 于 地 下 ,并 在 线路 的 两 端 加 压 。 线 路 上 连接 了 带 有 报警 器 的 显示 器 用 来 测量 
压力 。 如 果 压 力 下 降 , 则 意味 着 电缆 被 破坏 ,维修 人 员 将 被 派出 去 维修 出 现 问题 的 电缆 。 另 
一 种 电缆 加 奈 技术 不 是 将 电缆 埋 于 地 下 ,而 是 架空 ,每 寸 电缆 都 暴露 在 外 。 如 果 有 人 要 制 电 
缆 , 监 视 器 就 会 启动 报警 器 ,通知 安全 保卫 人 员 ; 如 果 有 人 在 电缆 上 搭 接 了 自己 的 通信 设 
备 ,安全 人 员 在 定期 检查 电缆 时 ,就 会 发 现 电 缆 的 拼接 处 。 加 压 电 缆 屏蔽 在 波纹 铝 钢 包皮 
中 , 它 几 乎 没有 电磁 辐射 ,如 果 用 电磁 感应 窃 密 , 要 使 用 大 量 设备 ,因此 很 容易 被 发 现 。 

光缆 曾 被 认为 是 不 可 搭 线 窗 听 的 , 因 其 断裂 或 破坏 处 会 立即 被 检测 到 ,拼接 处 的 传输 速 
率 是 很 慢 的 ; 光纤 没有 电磁 辐射 ,所 以 也 不 可 能 有 电磁 感应 窃 密 。 但 遗憾 的 是 光纤 有 长 度 
限制 ,超过 最 大 长 度 时 要 定期 地 放大 信号 ,就 要 将 信号 转变 为 电 脉冲 ,放大 后 再 恢复 为 光 脉 
冲 继续 通过 另 一 条 线路 传输 。 完 成 这 一 操作 的 设备 是 光纤 通信 系统 安全 的 薄弱 环节 ,因为 
信号 可 能 在 这 一 环节 被 窃听 。 

2. TCP/IP 服务 的 脆弱 性 


基于 TCP/IP 协议 的 服务 很 多 ,常用 的 有 Web 服务 .FTP 服务 .电子 邮件 服务 ,还 有 人 
们 不 太 熟 悉 的 TFTP 服务 、NFS 服务 .Finger 服务 。 这 些 服 务 都 在 不 同 程度 上 存在 安全 
缺陷 。 
。 电子 邮件 程序 存在 漏洞 ,电子 邮件 附着 的 文件 中 可 能 带 有 病毒 ,邮箱 经 常 被 塞 满 , 电 
子 邮件 炸弹 令 人 烦恼 ,还 有 邮件 溢出 等 。 
。 简单 文件 传输 协议 TFTP 服务 用 于 局 域 网 , 它 没有 任何 安全 认证 , 且 安 全 性 极 差 ,党 
被 人 用 来 窃取 密码 文件 。 
。 匿名 FTP 服务 存在 一 定 的 安全 隐患 : 有 些 匿 名 FTP 站 点 为 用 户 提供 一 些 可 写 的 区 
域 ,用 户 就 可 上 传 一 些 信息 到 站 点 上 ,因此 ,可 能 会 浪费 用 户 的 磁盘 空间 、 网 络 带宽 
等 资源 ,还 可 能 造成 "拒绝 服务 "攻击 。 
。 Finger 服务 可 查询 用 户 信息 ,包括 网 上 成 员 姓 名 、 用 户 名 、 最 近 的 登录 时 间 、 地 点 和 
当前 登录 的 所 有 用 户 名 等 ,这 也 为 人 侵 者 提供 了 必要 的 信息 和 方便 。 
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562 通信 加 密 


网 络 中 的 数据 加 密 可 分 为 两 个 途径 : 一 种 是 通过 硬件 实现 数据 加 密 ; 一 种 是 通过 软件 
实现 数据 加 密 。 通 过 硬件 实现 网 络 数据 加 密 主 要 分 为 链 路 加 密 和 端 - 端 加 密 两 种 方式 ; 软 
件数 据 加 密 就 是 指使 用 前 述 的 加 密 算法 进行 的 加 密 。 

计算 机 网 络 中 的 加 密 可 以 在 不 同 层 次 上 进行 ,最 常见 的 是 在 应 用 层 、 链 路 层 和 网 络 层 加 
密 。 应 用 层 加 密 需要 所 使 用 的 应 用 程序 支持 ,包括 客户 机 和 服务 器 的 支持 ,这 是 一 种 高 级 的 
加 密 ,在 某 些 具体 应 用 的 安全 中 非常 有 效 , 但 它 不 能 保护 网 络 链 路 。 数 据 链 路 层 加 密使 用 于 
单一 网 络 链 路 ,仅仅 在 某 条 链 路 上 保护 数据 ,而 当 数 据 通 过 其 他 未 被 保护 的 链 路 时 则 不 被 保 
护 。 这 是 一 种 低级 的 保护 ,不 能 被 广泛 应 用 。 网 络 层 加 密 介 于 应 用 层 加 密 和 数据 链 路 层 加 
密 之 间 ,加 密 在 发 送 端 进行 ,通过 不 可 信 的 中 间 网 络 ,到 接收 端 进行 解密 。 


1. 硬件 加 密 和 软件 加 密 


(1) 硬件 加 密 

所 有 加 密 产 品 都 有 特定 的 硬件 形式 。 这 些 加 、 解 密 硬件 被 嵌入 到 通信 线路 中 ,然后 对 所 
有 通过 的 数据 进行 加 密 。 虽 然 软件 加 密 在 今天 正 变 得 很 流行 ,但 硬件 加 密 仍 是 商业 和 军事 
等 领域 应 用 的 主要 选择 。 选 用 硬件 加 密 的 原因 有 : 

。 快速。 加 密 算法 中 含有 许多 复杂 运算 ,如 果 用 软件 实现 这 些 复杂 运算 , 则 运算 速度 
将 受到 很 大 影响 ,而 特殊 的 硬件 将 具有 速度 优势 。 另 外 ,加 密 常常 是 高 强度 的 计算 
任务 ,加 密 硬件 芯片 将 能 较 好 地 完成 这 样 的 任务 并 有 较 快 的 速度 。 
安全 。 硬 件 加 密 可 以 使 用 各 种 跟踪 工具 对 运行 在 未 加 保护 的 计算 机 上 的 加 密 算法 
进行 跟踪 或 修改 而 不 被 发 现 ,使 用 硬件 加 密 设 备 可 将 加 密 算法 封装 保护 ,以 防 被 修 
改 。 特 殊 目 的 的 VLSI 芯片 .可 以 覆盖 一 层 化 学 物质 ,使 得 任何 企图 对 它们 内 部 进 
行 的 访问 都 将 导致 芯片 逻辑 的 破坏 。 
易于 安装 。 大 多 数 加 密 功 能 与 计算 机 无 关 , 将 专用 加 密 硬 件 放 在 电话 、 传 真 机 或 
Modem 中 比 设置 在 微 处 理 器 中 更 方便 。 安 装 一 个 加 密 设 备 比 修改 配置 计算 机 系统 
软件 更 容易 。 加 密 应 该 是 不 可 见 的 , 它 不 应 该 妨碍 用 户 。 而 软件 要 做 到 这 样 ,唯一 
的 办 法 就 是 将 加 密 程序 写 在 操作 系统 软件 深 处 。 

(2) 软件 加 密 

任何 加 密 算法 都 可 用 软件 实现 。 软 件 实现 的 不 利之 处 就 是 速度 .开销 和 易于 改动 ,有 利 
之 处 是 灵活 性 和 可 移植 性 , 易 使 用 , 易 升 级 。 

软件 加 密 程 序 很 大 众 化 ,并 可 用 于 大 多 数 操作 系统 。 这 些 加 密 程序 可 用 于 保护 个 人 文 
件 ,用 户 通 常 可 用 手工 操作 。 软 件 加 密 的 密 钥 管理 很 重要 , 密 钥 不 应 存储 在 磁盘 中 , 密 钥 和 
未 加 密 文件 在 加 密 后 应 删除 。 


2. 通信 加 密 方式 


1) 链 路 加 密 
链 路 加 密 (Link Encryption) 是 指 传 输 数据 仅 在 数据 链 路 层 上 进行 加 密 。 链 路 加 密 是 为 
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保护 两 相 邻 节点 之 间 链 路 上 传输 的 数据 而 设立 的 。 只 要 把 两 个 密码 设备 安装 在 两 个 节点 间 
的 线路 上 ,并 装 有 同样 的 密 钥 即 可 。 被 加 密 的 链 路 可 以 是 微波 .卫星 和 有 线 介质 。 

在 链 路 上 传输 的 信息 (包括 信息 正文 .路 由 及 检验 码 等 控制 信息 ) 是 密 文 ,而 链 路 间 节 点 
上 必须 是 明文 。 因 为 在 各 节点 上 都 要 进行 路 径 选择 ,而 路 由 信息 必须 是 明文 ,否则 就 无 法 进 
行 选择 了 。 这 样 ,信息 在 中 间 节 点 上 要 先进 行 解密 ,以 获得 路 由 信息 和 检验 码 , 进 行路 由 选 
择 和 差错 检测 ,然后 再 被 加 密 , 送 至 下 一 链 路 ,如 图 5. 10 所 示 。 


节点 1 节点 2 节点 3 节点 n 
Pp P 
二 | 一 
1 中 1 P 1 
8 C C 
E 二 D| |e D| |e -| -DD 
Li Ly Ln 


图 5.10 链 路 加 密 


使 用 链 路 加 密 装置 能 为 某 链 路 上 的 所 有 报 文 提供 保密 传输 服务 。 即 经 过 一 台 节 点 机 的 
所 有 网 络 信 息 均 需 加 密 和 解密 ,每 一 个 经 过 的 节点 都 必须 有 密码 装置 ,以便 解密 、 加 密 报 文 。 
如 果 报 文 仅 在 一 部 分 链 路 上 加 密 而 在 另 一 部 分 链 路 上 不 加 密 , 则 相当 于 都 未 加 密 , 仍 然 是 不 
安全 的 。 

数据 在 到 达 目 的 地 之 前 ,可 能 要 经 过 许多 通信 和 链 路 的 传输 。 因 此 ,在 链 路 加 密 中 信息 在 
每 台 节 点 机 内 都 要 被 解密 和 再 加 密 ,依次 进行 ,直至 到 达 目 的 地 。 同 一 节点 上 的 解密 和 加 密 
密 钥 是 不 同 的 ,而 同一 条 链 路 两 端的 加 密 和 解密 是 相关 的 。 

链 路 加 密 时 由 于 报头 和 正文 在 链 路 上 均 被 加 密 , 可 掩盖 被 传输 信息 的 源 点 与 终点 ,这 使 
得 信息 的 频率 和 长 度 特 性 得 以 屏蔽 ,从 而 使 攻击 者 得 不 到 这 些 特 征 值 ,因此 , 链 路 加 密 可 防 
止 报 文 流量 分 析 的 攻击 。 

2) 端 - 端 加 密 

端 - 端 加 密 (End-to-End Encryption) 是 传输 数据 在 应 用 层 上 完成 加 密 的 。 端 - 端 加 密 可 
对 两 个 用 户 之 间 传 输 的 数据 提供 连续 的 安全 保护 。 数 据 在 初始 节点 上 被 加 密 ,直到 目的 节 
点 时 才 被 解密 ,在 中 间 节 点 和 链 路 上 数据 均 以 密 文 形式 传输 。 这 样 , 信 息 在 整个 传输 过 程 中 
均 受 到 保护 ,所 以 即使 有 节点 被 损坏 也 不 会 使 信息 泄露 。 

端 - 端 加 密 时 ,只 有 在 发 送 端 和 接收 端 才 有 加 密 和 解密 设备 ,中 间 各 节点 不 需要 有 和 密码 
设备 。 因 此 ,与 链 路 加 密 相 比 ,可 减少 很 多 密码 设备 的 数量 。 另 一 方面 ,由 于 信息 由 报头 和 
报 文 组 成 , 报 文 为 传输 的 信息 ,报头 为 路 由 等 控制 信息 ,网 络 中 传输 时 要 涉及 路 由 选择 问题 。 
因此 在 端 - 端 加 密 时 ,各 中 间 节 点 虽 不 进行 解密 ,但 必须 检查 报头 信息 ,所 以 路 径 选 择 等 控制 
信息 不 能 被 加 密 , 必 须 是 明文 。 即 端 - 端 加 密 只 能 对 信息 的 正文 ( 报 文 ) 进 行 加 密 , 而 不 能 对 
报头 加 密 , 如 图 5. 11 所 示 。 
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5.11 端 - 端 加 密 
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与 链 路 加 密 相 比 , 端 到 端 加 密 系统 更 可 靠 , 更 容易 设计 ,实现 和 维护 ,价格 也 便宜 些 。 端 
到 端 加 密 还 避免 了 同步 问题 ,因为 每 个 报 文 包 均 是 独立 被 加 密 的 ,所 以 一 个 报 文 包 所 发 生 的 
传输 错误 不 会 影响 其 他 的 报 文 包 。 此 外 ,从 用 户 对 安全 需求 的 直觉 上 讲 , 端 到 端 加 密 更 自然 
些 。 单 个 用 户 可 能 会 选用 这 种 加 密 方法 ,以 便 不 影响 网 络 上 的 其 他 用 户 。 

端 到 端 加 密 系统 通常 不 允许 对 信息 的 目的 地 址 进行 加 密 , 这 是 因为 每 个 信息 所 经 过 的 
节点 都 要 用 此 地 址 来 确定 如 何 传 输 信息 。 由 于 这 种 加 密 方法 不 能 掩盖 被 传输 信息 的 源 点 与 
终点 ,因此 它 对 于 防止 信息 流量 分 析 攻击 是 脆弱 的 。 

3) 两 种 通信 加 密 方式 的 比较 

(1) 链 路 加 密 的 特点 

采用 链 路 加 密 方式 ,从 起 点 到 终点 ,要 经 过 许多 中 间 节 点 ,在 每 个 节点 上 信息 均 以 明文 
形式 出 现 。 如 果 链 路 上 的 某 一 节点 安全 防护 比较 薄弱 ,那么 按照 木 桶 原理 ,虽然 采取 了 加 密 
措施 ,但 整个 链 路 的 安全 只 相当 于 最 薄弱 的 节点 处 的 安全 状况 。 链 路 加 密 具有 以 下 特点 : 
加 密 方式 比较 简单 ,实现 也 比较 容易 。 

可 防止 报 文 流量 分 析 的 攻击 。 

一 个 链 路 被 攻破 ,而 不 影响 其 他 链 路 上 的 信息 。 

一 个 中 间 节 点 被 攻破 时 ,通过 该 节点 的 所 有 信息 将 被 泄露 。 

加 密 和 维护 费用 大 ,用 户 费 用 很 难 合理 分 配 。 

链 路 加 密 只 能 认证 节点 ,而 不 是 用 户 , 因 此 不 能 提供 用 户 鉴别 。 

(2) 端 - 端 加 密 的 特点 

采用 端 - 端 加 密 方式 ,只 是 发 送 方 加 密 报 文 ,接收 方 解 密 报 文 ,中 间 节 点 不 必 进 行 加 密 和 
解密 ,因此 端 - 端 加 密 具有 以 下 特点 : 

。 可 提供 灵活 的 保密 手段 ,如 主机 到 主机 、 主 机 到 终端 ,主机 到 进程 的 保护 。 

加 密 费 用 低 , 加 密 费 用 能 准确 分 挫 。 

加 密 在 应 用 层 实 现 ,可 提高 网 络 加 密 功能 的 灵活 性 。 

加 密 可 采用 软件 实现 ,使 用 起 来 很 方 使 。 

不 能 防止 对 信息 流量 分 析 的 攻击 。 

整个 通信 过 程 中 各 分 支 相互 关联 ,任何 局 部 受到 破坏 时 将 影响 整个 通信 过 程 。 

端 - 端 加 密 对 用 户 是 可 见 的 ,可 以 看 到 加 密 后 的 结果 ,起 点 、 终 点 很 明确 ,可 以 进行 用 
户 认证 。 

(3) 加 密 方式 的 选择 

链 路 加 密 是 对 一 条 链 路 的 通信 采取 保护 措施 ,而 端 - 端 加 密 则 是 对 整个 网 络 的 通信 系统 
采取 保护 措施 。 从 以 上 分 析 和 两 种 加 密 方式 的 特点 可 知 ,两 种 加 密 方式 各 有 优 缺 点 。 因 此 ， 
用 户 在 确定 选择 何 种 通信 加 密 方式 时 应 作 如 下 考虑 : 

。 在 需要 保护 的 链 路 数 少 ,上 且 要 求实 时 通信 、 不 支持 端 - 端 加 密 远程 调用 等 场合 ,可 选 

用 链 路 加 密 方式 。 

。 在 需要 保护 的 链 路 数 较 多 ,或 在 文件 保护 .邮件 保护 .支持 端 - 端 加 密 的 远程 调用 等 
通信 场合 , 宜 采 用 端 - 端 加 密 方 式 , 以 利于 既 降低 成 本 ,又 能 支持 高 灵活 性 、 高 保密 性 
通信 。 

。 在 多 个 网 络 互联 的 环境 中 , 宜 采 用 端 - 端 加 密 方式 。 
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*。 在 需要 抵御 信息 流量 分 析 场 合 ,可 采用 链 路 加 密 和 端 - 端 加 密 相 结合 的 加 密 方式 。 
对 路 由 信息 采用 链 路 加 密 方式 ,对 端 - 端 传输 的 报 文采 用 端 - 端 加 密 方式 。 
总 的 来 说 ,与 链 路 加 密 相 比 , 端 - 端 加 密 具 有 成 本 低 \ 保 密 性 强 、 灵 活性 好 等 优点 ,应 用 比 
较 广泛 。 


57 鉴别 与 认证 


网 络 安全 系统 一 个 很 重要 方面 是 防止 非法 用 户 对 系统 的 主动 攻击 ,如 伪造 信息 , 算 改 信 
息 等 。 这 种 安全 要 求 对 实际 网 络 系统 的 应 用 (如 电子 商务 ) 是 非常 重要 的 。 以 下 介绍 的 鉴 
别 、 认 证 ,数字 签名 、SSL 和 SET 等 都 是 基于 数据 加 密 的 应 用 技术 。 


57.1 鉴别 技术 概述 


1. 鉴别 的 概念 


鉴别 (Authentication ,也 叫 验证 ?是 防止 主动 攻击 的 重要 技术 。 鉴 别 的 目的 就 是 验证 用 
户 身 份 的 合法 性 和 用 户 间 传输 信息 的 完整 性 与 真实 性 。 

鉴别 服务 主要 包括 报 文 鉴别 和 身份 验证 两 方面 。 报 文 鉴别 和 身份 验证 可 采用 数据 加 密 
技术 、 数 字 签名 技术 及 其 他 相关 技术 来 实现 。 

报 文 鉴别 是 为 了 确保 数据 的 完整 性 和 真实 性 ,对 报 文 的 来 源 、 时 间 及 目的 地 进行 验证 。 
报 文 鉴别 过 程 通常 涉及 加 密 和 密 钥 交 换 。 加 密 可 使 用 对 称 密 钥 加 密 、 非 对 称 密 钥 加 密 或 两 
种 加 密 方式 的 混合 。 

身份 验证 就 是 验证 申请 进入 网 络 系统 者 是 否 是 合法 用 户 , 以 防 非法 用 户 访问 系统 。 身 
份 验证 的 方式 一 般 有 用 户口 令 验证 、 摘 要 算法 验证 .基于 PKI( 公 钥 基 础 设施 ) 的 验证 等 。 验 
证 .授权 和 访问 控制 都 与 网 络 实体 安全 有 关 。 虽 然 用 户 身份 只 与 验证 有 关 , 但 很 多 情况 下 还 
要 讨论 授权 和 访问 控制 。 授 权 和 访问 控制 都 是 在 成 功 的 验证 之 后 进行 的 。 

(1) 报 文 鉴别 

报 文 鉴别 是 一 个 过 程 , 它 使 得 通信 的 接收 方 能 够 验证 所 收 到 的 报 文 (发 送 者 和 报 文 内 
容 发 送 时 间 .序列 等 ) 的 真 伪 。 

报 文 鉴别 又 称 完整 性 校 验 , 在 银行 业 称 为 消息 认证 ,在 OSI 安全 模型 中 称 为 封装 。 

报 文 鉴别 过 程 必须 确定 以 下 三 个 内 容 : 

。 报 文 是 由 指定 的 发 送 方 产生 的 。 

。 报 文 内 容 没 有 被 修改 过 。 

。 报 文 是 按 已 传送 的 相同 顺序 收 到 的 。 

这 些 确定 可 由 数字 签名 、 信 息 摘要 或 散 列 函数 来 完成 。 

(2) 身份 验证 

身份 验证 一 般 涉及 两 个 过 程 : 一 个 是 识别 ; 一 个 是 验证 。 

识别 是 指 要 明确 访问 者 是 谁 , 即 要 对 网 络 中 的 每 个 合法 用 户 都 有 识别 能 力 。 要 保证 识 
别 的 有 效 性 ,必须 保证 代表 用 户 身 份 的 识别 符 的 唯一 性 。 
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验证 就 是 指 在 访问 者 声明 自己 的 身份 后 ,系统 要 对 他 所 声明 的 身份 进行 验证 ,以 防 
假冒 。 

识别 信息 一 般 是 非 秘密 的 ,如 用 户 信 用 卡 的 号 码 、 用 户 名 、 身 份 证 号 码 等 ; 而 验证 信息 
一 般 是 秘密 的 ,如 用 户 信用 卡 的 密码 。 

身份 验证 的 方法 有 口令 验证 个 人 持 证 验证 和 个 人 特征 验证 三 类 。 

。 口令 验证 法 最 简单 ,系统 开销 也 小 ,但 其 安全 性 最 差 。 
持 证 为 个 人 持 有 物 , 如 钥匙 、 磁 卡 、 智 能 卡 等 。 持 证 法 比 口令 法 安全 性 好 ,但 验证 系 
统 比较 复杂 。 磁 卡 常 和 PIN 一 起 使 用 。 
以 个 人 特征 进行 验证 时 ,可 有 多 种 技术 为 验证 机 制 提供 支持 ,如 指纹 识别 、 声 音 识 
别 、 血 型 识别 ,视网膜 识别 等 。 个 人 特征 方法 验证 的 安全 性 最 好 ,但 验证 系统 也 最 


复杂 。 


2. 数字 签名 


数字 签名 (Digital Signature) 可 解决 手写 签名 中 的 签字 人 否认 签字 或 其 他 人 伪造 签字 
等 问题 。 因 此 ,被 广泛 用 于 银行 的 信用 卡 系统 .电子 商务 系统 ,电子 邮件 以 及 其 他 需要 验证 、 
核对 信息 真 伪 的 系统 中 。 

手工 签名 是 模拟 的 , 因 人 而 异 ,而 数字 签名 是 数字 式 的 (0、1 数字 串 ), 因 信息 而 异 。 

数字 签名 具有 以 下 功能 : 

。 收 方 能 够 确认 发 方 的 签名 ,但 不 能 伪造 。 

。 发 方 发 出 签 过 名 的 信息 后 ,不 能 再 否认 。 

。 收 方 对 收 到 的 签名 信息 也 不 能 否认 。 

。 一 旦 收发 方 出 现 争 执 , 仲 裁 者 可 有 充足 的 证 据 进行 评判 。 


3. 单 向 散 列 函 数 


在 现 阶 段 , 一 般 存在 两 个 方向 的 加 密 方式 , 即 双向 加 密 和 单 向 加 密 。 

双向 加 密 是 加 密 算法 中 最 常用 的 , 它 将 可 理解 的 明文 数据 加 密 成 不 可 理解 的 密 文 数据 ; 
然后 ,在 需要 的 时 候 , 再 使 用 一 定 的 算法 和 工具 将 这 些 密 文 解密 为 原来 的 明文 。 双 向 加 密 适 
合 于 保密 通信 ,比如 ,我 们 在 网 上 购物 的 时 候 , 需 要 向 网 站 提交 信用 卡 密码 。 人 们 当然 不 希 
望 自己 的 数据 直接 在 网 上 明文 传送 ,因为 这 样 很 可 能 被 别 的 用 户 “ 偷 听 ”, 而 是 希望 自己 的 信 
用 卡 密码 是 通过 加 密 后 再 在 网 络 传送 。 这 样 , 网 站 接受 到 用 户 的 数据 后 ,通过 解密 算法 就 可 
以 得 到 准确 的 信用 卡 账 号 。 

单 向 加 密 刚 好 相反 ,只 对 数据 进行 加 密 而 不 进行 解密 , 即 在 加 密 后 ,不 能 对 加 密 后 的 数 
据 进行 解密 ,或 也 不 用 再 解密 。 单 向 加 密 算法 用 于 不 需要 对 信息 解密 或 读 取 的 场合 ,比如 ， 
用 来 比较 两 个 信息 值 是 否 一 样 而 不 需 知道 信息 值 是 什么 内 容 。 这 种 单 向 加 密 算 法 在 实际 中 
的 典型 应 用 就 是 对 数据 库 中 的 用 户 信息 进 行 加 密 , 比 如 当 用 户 创建 一 个 新 的 账号 及 密码 时 ， 
先 将 这 些 信息 经 过 单 向 加 密 后 再 保存 到 数据 库 中 。 再 比如 ,一 台 自 动 取款 机 (ATM) 不 需要 
解密 一 个 消费 者 的 个 人 标识 号 (PIN) , 磁 条 卡 将 顾客 的 代码 单 向 地 加 密 成 一 段 Hash 值 ,使 
用 时 ATM 机 将 计算 用 户 PIN 的 Hash 值 并 产生 一 个 结果 ,然后 再 将 这 段 结果 与 用 户 卡 上 
的 Hash 值 比较 。 使 用 这 种 方法 ,即使 对 于 那些 管理 和 维护 ATM 机 的 人 来 说 ,PIN 也 是 安 
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全 的 。 
Hash 函数 就 是 一 类 单 向 加 密 数据 的 函数 ,也 叫 单 向 散 列 函数 。 
目前 已 经 有 许多 不 同 的 Hash 函数 ,但 它们 中 的 大 部 分 存在 某 种 缺陷 。 在 开放 式 网 络 
系统 中 使 用 的 可 靠 的 Hash 函数 有 : 
。 基于 分 组 密码 算法 的 Hash 函数 。 
。 系列 Hash 函数 MD2、MD4 和 MD5 等 。 这 些 函 数 都 产生 128 位 的 输出 ,MD5( 信 息 
摘要 算法 ) 就 是 一 种 优秀 的 单 向 加 密 算法 。 
。 美国 政府 的 安全 Hash 标准 (SHA-1)。SHA-1 是 MD4 的 一 个 变形 ,产生 160 位 的 
输出 ,与 DSA( 数 字 签名 算法 ) 匹 配 使 用 。 
Hash 函数 除了 可 在 数字 签名 中 用 来 提高 数字 签名 的 有 效 性 和 分 离 保密 与 签名 外 ,还 
可 用 于 认证 ,数据 完整 性 测试 和 加 密 。 
Hash 函数 可 产生 信息 摘要 ,其 计算 过 程 为 : 输入 一 个 长 度 不 固定 的 字符 串 , 返 回 一 
串 固定 长 度 的 字符 串 , 即 摘要 ,又 称 Hash 值 。 信 息 摘要 简要 地 描述 了 一 份 较 长 的 信息 或 
文件 , 它 可 以 被 看 做 一 份 长 文件 的 “数字 指纹 ”。 信 息 摘要 用 于 创建 数字 签名 ,对 于 特定 
的 文件 而 言 ,信息 摘要 是 唯一 的 。 信 息 摘 要 可 以 被 公开 , 它 不 会 透露 相应 文件 的 任何 
内 容 。 
Hash 函数 主要 可 以 解决 以 下 两 个 问题 : 在 某 一 特定 的 时 间 内 ,无 法 查找 经 Hash 操作 
后 生成 特定 Hash 值 的 原 报 文 ,也 无 法 查找 两 个 经 Hash 操作 后 生成 相同 Hash 值 的 不 同 报 
文 。 这 样 ,在 数字 签名 中 就 可 以 解决 签名 验证 ,用户 身份 验证 和 不 可 抵赖 性 的 问题 。 


572 数字 签名 


对 文件 进行 加 密 只 解决 传送 信息 的 保密 问题 ,而 防止 他 人 对 传输 的 文件 进行 破坏 ,以 及 
如 何 确定 发 信人 的 身份 ,还 需要 采取 其 他 的 手段 ,这 一 手段 就 是 数字 签名 。 密 码 技术 除了 提 
供 信 息 的 加 密 /解密 外 ,还 提供 对 信息 来 源 的 鉴别 、 保 证 信息 的 完整 性 和 不 可 否认 性 等 功能 ， 
而 这 三 种 功能 都 可 通过 数字 签名 实现 。 在 电子 商务 系统 中 ,其 安全 服务 都 要 用 到 数字 签名 
技术 。 因 此 数字 签名 技术 有 着 特别 重要 的 地 位 。 在 电子 商务 中 ,完善 的 数字 签名 应 具备 签 
字 方 不 能 抵赖 ` 他 人 不 能 伪造 .在 公证 人 面前 能 够 验证 真 伪 的 能 力 。 


1. 密码 算法 与 数字 签名 
一 个 由 公开 密 钥 密码 体制 实现 的 数字 签名 过 程 如 图 5. 12 所 示 。 


A | 等 名 上------ S-| 验证 -| B 
Kag Kae 


5.12 公 钥 体制 实现 数字 签名 的 过 程 


一 个 典型 的 由 公开 密 钥 密 码 体制 实现 的 . 带 有 加 密 功 能 的 数字 签名 过 程 如 图 5. 13 
所 示 。 
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M S C S M 
A 一 | 签名 | 解密 =| 验证 一 -=| B 
Kag KBe Ked Kas 


图 5.13 带 有 加 密 功能 的 数字 签名 过 程 


数字 签名 的 特点 是 它 代表 了 文件 的 特征 ,文件 如 果 发 生 改变 ,数字 签名 的 值 也 将 发 生变 
化 。 不 同 的 文件 将 得 到 不 同 的 数字 签名 。 一 个 最 简单 的 Hash 函数 是 把 文件 的 二 进 制 码 相 
累加 , 取 最 后 的 若干 位 。Hash 函数 对 收发 数据 的 双方 都 是 公开 的 。 

数字 签名 能 保证 信息 完整 性 的 原理 是 : 将 要 传送 的 明文 通过 一 种 单 向 散 列 函 数 运算 转 
换 成 信息 摘要 (不 同 的 明文 对 应 不 同 的 摘要 ) ,信息 摘要 加 密 后 与 明文 一 起 传送 给 接收 方 , 接 
收 方 将 接收 的 明文 产生 新 的 信息 摘要 ,再 与 发 送 方 发 来 的 信息 摘要 相 比 较 。 比 较 结果 一 致 ， 
则 表示 明文 未 被 改动 ,信息 是 完整 的 ; 如 果 不 一 致 ,表示 明文 被 算 改 ,信息 的 完整 性 受到 
破坏 。 

目前 的 数字 签名 大 多 是 建立 在 公开 密 钥 体 制 基础 上 ,这 是 公开 密 钥 加 密 技术 的 另 一 种 
重要 应 用 。 如 基于 RSA 的 公开 密 钥 加 密 标准 PKCS 数字 签名 算法 DSA、PGP 加 密 软件 
等 。1994 年 美国 标准 与 技术 协会 公布 了 数字 签名 标准 ,从 而 使 公 钥 加 密 技术 得 到 广泛 
应 用 。 

数字 签名 的 主要 过 程 是 : 报 文 的 发 送 方 利 用 单 向 散 列 函数 从 报 文 文本 中 生成 一 个 128 
位 的 散 列 值 ( 信 息 摘要 )。 发 送 方 用 自己 的 私 钥 对 这 个 散 列 值 进行 加 密 来 形成 发 送 方 的 数字 
签名 。 然 后 ,该 数字 签名 将 作为 报 文 的 附件 和 报 文 一 起 发 送 给 报 文 的 接收 方 。 接 收 方 首 先 
从 接收 到 的 原始 报 文中 计算 出 128 位 的 散 列 值 ( 信 息 摘 要 ) ,然后 再 用 发 送 方 的 公开 密 钥 对 
报 文 附加 的 数字 签名 进行 解密 得 到 原 散 列 值 。 如 果 这 两 个 散 列 值 相 同 , 则 接收 方 就 能 确认 
该 数字 签名 是 发 送 方 的 。 通 过 数字 签名 能 够 实现 对 原始 报 文 的 鉴别 。 

采用 数字 签名 能 确认 以 下 两 点 : 第 一 ,信息 是 由 签名 者 发 送 的 ; 第 二 ,信息 自 签 发 到 收 
到 为 止 未 曾 作 过 任何 修改 。 这 样 数字 签名 就 可 用 来 防止 电子 信息 因 易 被 修改 而 有 人 作伪 ， 
或 冒 用 别人 名 义 发 送信 息 , 或 发 出 ( 收 到 ) 信 件 后 又 加 以 否认 等 情况 发 生 。 

目前 ,广泛 应 用 的 数字 签名 算法 主要 有 三 种 : RSA 签名 .DSS( 数 字 签 名 系统 ) 签 名 和 
Hash 签名 。 这 三 种 算法 可 单独 使 用 .也 可 综合 在 一 起 使 用 。 数 字 签 名 是 通过 密码 算法 对 
数据 进行 加 、 解 密 变 换 实现 的 ,用 DES 算法 .RSA 算法 都 可 实现 数字 签名 。 

用 RSA 或 其 他 公开 密 钥 密码 算法 的 最 大 方便 是 没有 密 钥 分 配 问 题 (网 络 越 复杂 、 网 络 
用 户 越 多 ,其 优点 越 明 显 )。 因 为 公开 密 钥 加 密使 用 两 个 不 同 的 密 钥 ,其 中 有 一 个 是 公开 的 ， 
另 一 个 是 保密 的 ( 私 钥 )。 公 开 密 钥 可 以 保存 在 系统 目录 内 、 未 加 密 的 电子 邮件 中 、 电 话 号 码 
簿 或 公告 牌 里 ,网 上 的 任何 用 户 都 可 获得 公开 密 钥 。 而 私 钥 是 用 户 专 用 的 ,由 用 户 本 身 持 
有 , 它 可 以 对 由 公开 密 钥 加 密 的 信息 进行 解密 。 实 际 上 RSA 算法 中 数字 签名 是 通过 一 个 
Hash 函数 来 实现 的 。 

DSS 数字 签名 是 由 美国 国家 标准 化 研究 院 和 国家 安全 局 共同 开发 的 。 由 于 它 是 由 美 
国政 府 颁 布 实施 的 ,美国 政府 出 于 保护 国家 利益 的 目的 不 提倡 使 用 任何 削弱 政府 的 有 窃听 
能 力 的 加 密 软件 ,因此 ,DSS 主要 用 于 与 美国 政府 做 生意 的 公司 ,其 他 公司 则 较 少 使 用 。 
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Hash 签名 是 最 主要 的 数字 签名 方法 ,也 称 为 数字 摘要 法 或 数字 指纹 法 。 著 名 的 数字 
摘要 加 密 方法 MD5 是 由 RonRivest 所 设计 ,该 编码 算法 采用 单 向 Hash 函数 将 需 加 密 的 明 
文 “ 摘 要 ?成 一 串 128bit 的 密 文 。 这 样 , 该 摘要 就 可 成 为 验证 明文 是 否 “ 真 实 " 的 依据 。 


2. 数字 签名 过 程 


只 有 加 入 数字 签名 及 验证 才能 真正 实现 信息 在 公开 网 络 上 的 安全 传输 。 加 入 数字 签名 
和 验证 的 文件 传输 过 程 如 下 ( 见 图 5. 14) 。 


发 送 方 A 接收 方 B 
昌 。 | 信息 
胃 文 | - 明文 刻下 “| 摘要 
福 明文 此 
单 向 函数 等 名 后 的 签名 后 的 单 向 函数 较 
信息 摘要 信息 摘要 
信息 | _。 | 签名 后 的 签名 后 的 | __| 信息 
摘要 信息 摘要 信息 摘要 摘要 
用 A 的 用 A 的 
私 钥 签名 公 钥 验证 


图 5.14 数字 签名 过 程 
(1) 发 送 方 首先 用 Hash 函数 从 原 报 文中 得 到 数字 签名 ,然后 采用 公开 密 钥 算 法 用 自 
己 的 私 钥 对 数字 签名 进行 加 密 , 并 把 加 密 后 的 数字 签名 附加 在 要 发 送 的 报 文 后 面 。 
(2) 发 送 方 选择 一 个 会 话 密 钥 对 原 报 文 进行 加 密 , 并 把 加 密 后 的 文件 通过 网 络 传 输 到 


接收 方 。 
(3) 发 送 方 用 接收 方 的 公开 密 钥 对 会 话 密 钥 进行 加 密 , 并 通过 网 络 把 加 密 后 的 会 话 密 
钥 传 输 到 接收 方 。 


(4) 接收 方 使 用 自己 的 私 钥 对 会 话 密 钥 信息 进行 解密 ,得 到 会 话 密 钥 的 明文 。 

(5) 接收 方 用 会 话 密 钥 对 加 密 了 的 报 文 进行 解密 ,得 到 原 报 文 。 

(6) 接收 方 用 发 送 方 的 公开 密 钥 对 加 密 的 数字 签名 进行 解密 ,得 到 数字 签名 的 明文 。 

(7) 接收 方 用 得 到 的 原 报 文 和 Hash 函数 重新 计算 数字 签名 ,并 与 解密 后 的 数字 签名 
进行 对 比 。 如 果 两 者 相同 ,说 明文 件 在 传输 过 程 中 没有 被 破坏 ,信息 完整 。 

如 果 第 三 方 冒充 发 送 方 发 出 了 一 个 文件 ,因为 接收 方 在 对 数字 签名 进行 解密 时 使 用 的 
是 发 送 方 的 公开 密 钥 ,只 要 第 三 方 不 知道 发 送 方 的 私 钥 , 解 密 出 来 的 数字 签名 和 经 过 计算 的 
数字 签名 必然 是 不 同 的 。 这 就 提供 了 一 个 安全 的 确认 发 送 方 身份 的 方法 。 


3. 数字 签名 与 信息 加 密 的 区 别 


数字 签名 的 加 密 /解密 过 程 和 信息 ( 报 文 ) 的 加 密 /解密 过 程 虽然 都 可 使 用 公开 密 钥 算 
法 ,但 实现 的 过 程 正 好 相反 ,使 用 的 密 钥 对 也 不 同 。 数 字 签名 使 用 的 是 发 送 方 的 密 钥 对 ,发 
送 方 用 自己 的 私 钥 进行 加 密 ( 签 名 ) ,接收 方 用 发 送 方 的 公 钥 进行 解密 (验证 )。 这 是 一 个 一 
对 多 的 关系 : 任何 拥有 发 送 方 公 开 密 钥 的 人 都 可 以 验证 数字 签名 的 正确 性 。 而 信息 ( 报 文 ) 
的 加 密 / 解 密 则 使 用 接收 方 的 密 钥 对 ,这 是 多 对 一 的 关系 : 任何 知道 接收 方 公 钥 的 人 都 可 以 
向 接收 方 发 送 加 密 信 息 , 只 有 唯一 拥有 接收 方 私 钥 的 人 才能 对 信息 解密 。 在 使 用 过 程 中 , 通 
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常 一 个 用 户 拥有 两 个 密 钥 对 ,一 个 密 钥 对 用 来 对 数字 签名 进行 加 密 /解密 , 另 一 个 密 钥 对 用 
来 对 信息 ( 报 文 ) 进 行 加 密 / 解 密 。 这 种 方式 提供 了 更 高 的 安全 性 。 

数字 签名 大 多 采用 非 对 称 密 钥 加 密 算 法 , 它 能 保证 发 送信 息 的 完整 性 .身份 的 真实 性 和 
不 可 否认 性 ,而 数据 加 密 采 用 了 对 称 密 钥 加 密 算法 和 非 对 称 密 钥 加 密 算法 相 结 合 的 方法 , 它 
能 保证 发 送信 息 的 保密 性 。 

数字 签名 和 信息 加 密 过 程 的 区 别 比较 明显 (如 图 5. 15 所 示 )。 数 字 签名 的 主要 过 程 如 
上 所 述 , 而 信息 加 密 的 主要 过 程 可 概括 为 : 


te be 
数字 签名 加 窗 |--------- 解密 验证 
发 送 者 | 使 用 发 送 者 的 私 钥 使 用 发 送 者 的 公 钥 蝗 … 
加 玖 正二 三 = 三 二 己 三 寺 志 解密 
数据 加 密 T 二 机 解密 
使 用 接收 者 的 公 钥 使 用 接收 者 的 私 钥 


图 5.15 数字 签名 与 数据 加 密 的 区 别 


发 送 者 首先 生成 一 个 对 称 密 钥 ,用 该 对 称 密 钥 加 密 要 发 送 的 报 文 。 
送 者 用 信息 接收 者 的 公 钥 加 密 上 述 对 称 密 钥 。 
(3) 信息 发 送 者 将 第 一 步 和 第 二 步 的 结果 结合 在 一 起 传 给 信息 接收 者 , 称 为 数字 信封 。 
(4) 信息 接收 者 使 用 自己 的 私 钥 解 密 被 加 密 的 对 称 密 钥 , 再 用 此 对 称 密 钥 解密 发 送 方 
的 密 文 , 得 到 真正 的 原文 。 


5.73 CA 认证 


Internet 浪潮 把 人 们 带 入 到 全 新 的 网 络 化 社会 ,也 使 每 个 企 事 业 部 门 都 面临 着 巨大 的 
机 遇 和 挑战 。 从 生产 到 销售 、 从 操作 到 管理 、 从 税收 到 年 检 , 还 有 自动 化 办 公 、 电 子 商务 、 电 
子 政务 等 一 系列 网 络 信息 化 操作 模式 ,已 彻底 改变 了 企 事业 部 门 的 传统 运作 模式 。 充 分 适 
应 网 络 环境 、 合 理 利 用 信息 化 手段 是 网 络 化 时 代 企 事业 单位 发 展 取胜 的 关键 。 

在 进入 网 络 化 时 代 后 ,许多 部 门 也 许 会 经 常 遇 到 这 样 的 困惑 : 在 内 部 进行 网 络 管理 时 
怎样 在 网 上 确认 员工 的 身份 ,网 上 交易 时 对 方 发 出 的 信息 是 否 真 实 可 信 , 网 上 纳税 时 怎样 有 
效 地 表明 企业 的 身份 ,等 等 。 由 此 可 见 “ 信 任 ? 是 每 个 网 上 交易 (交换 ) 实 体 ( 网 络 用 户 ) 进 行 
各 种 网 上 行为 的 基础 。 构 架 一 个 安全 可 信 的 网 络 环境 是 各 种 网 上 操作 顺利 开展 的 有 力 保 
障 。 例 如 ,在 常规 的 交易 业务 中 ,交易 双方 现场 交易 ,可 以 确认 买卖 双方 的 身份 。 但 在 网 上 
进行 的 电子 商务 交易 ,交易 双方 并 不 在 现场 ,买方 和 卖方 都 希望 对 于 在 Internet 上 进行 的 一 
切 交 易 运 作 都 是 真实 可 靠 的 。 保 证 交易 双方 身份 的 真实 性 和 交易 的 不 可 抵赖 性 ,已 经 成 为 
人 们 迫切 关心 的 一 个 问题 。 因 此 ,必须 保证 电子 商务 系统 在 交易 过 程 中 具有 十 分 可 靠 的 安 
全 保密 技术 ,保证 交易 中 能 够 实现 身份 认证 、 安 全 传输 、 不 可 否认 和 数据 一 致 性 。CA 认证 
就 是 网 络 的 一 种 安全 控制 技术 , 它 可 以 提供 网 上 交易 所 需 的 “信任 ”。CA 认证 的 出 现 和 数 
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字 证 书 的 使 用 ,使 得 开放 的 网 络 更 加 安全 。 
那么 ,什么 是 CA 认证 呢 ? 数字 证 书 又 是 如 何 进行 网 络 安全 控制 的 ? 


1. CA 认证 中 心 


(1) CA 认证 

CA 的 英文 全 称 是 Certificate Authority, 即 证 书 授权 中 心 ,也 叫 认证 中 心 。 在 网 上 电子 
交易 中 , 商户 需要 确认 持 卡 人 是 否 是 信用 卡 或 借 记 卡 的 合法 持 有 者 ,同时 持 卡 人 也 要 能 够 
鉴别 商户 是 否 是 合法 商户 ,是 否 被 授权 接受 某 种 品牌 的 信用 卡 或 借 记 卡 支付 。 为 处 理 这 些 
问题 ,必须 有 一 个 大 家 都 信赖 的 机 构 来 发 放 一 种 证 书 。 这 种 证 书 就 是 数字 证 书 , 它 是 参与 网 
上 交易 活动 的 各 方 (如 持 卡 人 、 商 家 、 支 付 网 关 ) 身 份 的 证 明 。 每 次 交易 时 ,都 要 通过 数字 证 
书 对 各 方 的 身份 进行 验证 。CA 认证 中 心 作为 权威 的 、 可 信赖 的 ,公正 的 第 三 方 ,是 发 放 、 管 
理 ,废除 数字 证 书 的 机 构 。 

(2) X. 509 标准 

X. 509 是 国际 电信 联盟 ITU-T 建议 作为 X. 500 目录 检索 的 一 部 分 ,提供 安全 目录 检索 
服务 ,是 一 种 行业 标准 或 行业 解决 方案 。 在 X. 509 方案 中 ,默认 的 加 密 体制 是 公 钥 密码 体 
制 。 为 进行 身份 认证 ,X. 509 标准 及 公共 密 钥 加 密 系统 提供 了 数字 签名 方案 。 用 户 可 生成 
一 段 信息 及 其 摘要 (信息 “指纹 ”)。 用 户 再 用 专用 密 钥 对 摘要 加 密 以 形成 签名 ,接收 者 用 发 
送 者 的 公 钥 对 签名 解密 ,并 将 之 与 收 到 的 信息 “指纹 ”进行 比较 ,以 确定 其 真实 性 。 

此 问题 的 解决 方案 即 X. 509 标准 与 公共 密 钥 证 书 。 本 质 上 ,数字 证 书 由 公共 密 钥 和 密 
钥 拥有 者 的 用 户 标识 组 成 ,整个 字 块 由 可 信赖 的 第 三 方 签名 。 

CA 认证 中 心 颁发 的 数字 证 书 均 遵 循 ITU-T 的 X. 509 V3 标准 。 基 于 X. 509 证 书 的 认 
证 技术 适用 于 开放 式 网 络 环境 下 的 身份 认证 。 该 技术 已 被 广泛 接受 ,许多 网 络 安全 程序 都 
可 以 使 用 X. 509 证 书 。 

X. 509 是 一 种 非常 通用 的 证 书 格式 。 所 有 的 证 书 都 符合 ITU-TX. 509 国际 标准 ,因此 
(理论 上 ) 为 一 种 应 用 创建 的 证 书 可 以 用 于 任何 其 他 符合 X. 509 标准 的 应 用 。 在 一 份 证 书 
中 ,必须 证 明 公 钥 及 其 所 有 者 的 姓名 是 一 致 的 。 对 X. 509 证 书 来 说 ,认证 者 总 是 CA 或 由 
CA 指定 的 人 ,一 份 X. 509 证 书 是 一 些 标准 字段 的 集合 .这 些 字段 包含 有 关 用 户 或 设备 及 其 
相应 公 钥 的 信息 。X. 509 标准 定义 了 证 书 中 应 该 包含 哪些 信息 ,并 描述 了 这 些 信 息 是 如 何 
编码 的 ( 即 数据 格式 )。X. 509 证 书包 含 的 内 容 有 X. 509 版 本 号 .证 书 持 有 人 的 公 钥 、 证 书 
的 序列 号 .主题 信息 、 证 书 的 有 效 期 .认证 机 构 ( 证 书 发 布 者 ) 发 布 者 的 数字 签名 和 签名 算法 
标识 符 。 

(3) CA 的 功能 

CA 认证 中 心 所 发 放 的 数字 证 书 就 是 网 络 中 标志 通信 各 方 身份 信息 的 电子 文件 , 它 提 
供 了 一 种 在 Internet 上 验证 用 户 身 份 的 方式 。 数 字 证 书 的 作用 类 似 于 司机 的 驾驶 执照 或 日 
常生 活 中 的 身份 证 。 人 们 可 以 在 交往 (交易 ) 中 使 用 数字 证 书 来 识别 对 方 的 身份 。 

CA 认证 中 心 就 是 一 个 负责 发 放 和 管理 数字 证 书 的 权威 机 构 。CA 的 作用 是 检查 证 书 
持 有 者 身份 的 合法 性 ,并 签发 证 书 (在 证 书 上 签字 ) ,以 防 证 书 被 伪造 或 算 改 ,以 及 对 证 书 和 
密 钥 进行 管理 。 由 此 可 见 ,数字 证 书 就 相当 于 用 户 在 网 上 的 个 人 电子 身份 证 ,同日 常生 活 中 
使 用 的 个 人 身份 证 作用 一 样 ,而 CA 就 相当 于 网 上 公安 局 ,专门 发 放 、 管 理 和 验证 身份 证 。 
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对 于 一 个 大 型 的 应 用 环境 ,认证 中 心 往往 采用 一 种 多 层次 的 分 级 结构 ,各 级 的 认证 中 心 
类 似 于 各 级 行政 机 关 , 上 级 认证 中 心 负责 签发 和 管理 下 级 认证 中 心 的 证 书 ,最 下 一 级 的 认证 
中 心 直 接 面向 最 终 用 户 。CA 认证 中 心 主要 有 以 下 几 种 功能 : 

。 证书 的 颁发 。CA 认证 中 心 接收 、 验 证 用 户 ( 包 括 下 级 认证 中 心 和 最 终 用 户 ) 的 数字 
证 书 的 申请 ,将 申请 的 内 容 进行 备案 ,并 根据 申请 的 内 容 确定 是 否 受 理 该 申请 。 如 
果 中 心 接受 该 申请 , 则 进一步 确定 给 用 户 颁 发 何 种 类 型 的 证 书 。 新 证 书 用 CA 认证 
中 心 的 私 钥 签 名 以 后 ,发 送 到 目录 服务 器 供用 户 下 载 和 查询 。 为 了 保证 消息 的 完整 
性 ,返回 给 用 户 的 所 有 应 答 信 息 都 要 使 用 CA 认证 中 心 的 签名 。 
证 书 的 更 新 。CA 认证 中 心 可 以 定期 更 新 所 有 用 户 的 证 书 ,或 根据 用 户 的 请 求 更 新 
用 户 的 证 书 。 
。 证 书 的 查询 。 数 字 证 书 的 查询 可 以 分 为 两 类 : 一 是 证 书 申请 的 查询 ,认证 中 心 根据 
日 户 的 查询 请 求 返 回 当前 用 户 证 书 申请 的 处 理 过 程 ; 二 是 用 户 证 书 的 查询 ,这 类 查 
询 由 目录 服务 器 来 完成 ,目录 服务 器 根据 用 户 的 请 求 返 回 适当 的 证 书 。 
证 书 的 作废 。 当 用 户 的 私 钥 由 于 泄密 等 原因 造成 用 户 需要 申请 证 书 作废 时 ,用 户 需 
要 向 CA 认证 中 心 提出 证 书 作废 的 请 求 。CA 认证 中 心 根据 用 户 的 请 求 确定 是 否 将 
该 证 书 作 废 。 另 外 ,如 果 证 书 已 过 了 有 效 期 ,CA 认证 中 心 自动 将 该 证 书 作废 。 认 证 
中 心 通过 维护 证 书 作 上 废 列表 (CRL) 来 完成 上 述 功 能 。 
证 书 的 归档 。 证 书 具 有 一 定 的 有 效 期 ,过 了 有 效 期 后 就 将 作废 。 但 不 能 将 作废 的 证 
书简 单 地 丢弃 ,因为 有 时 可 能 需要 验证 以 前 的 某 个 交易 过 程 中 产生 的 数字 签名 ,这 
时 就 需要 查询 作废 的 证 书 。 基 于 这 种 考虑 ,CA 认证 中 心 还 具备 管理 作废 证 书 和 作 
废 私 钥 的 功能 。 


2. 数字 证 书 


mn 


(1) 数字 证 书 的 工作 原理 

数字 证 书 是 一 个 经 CA 认证 中 心 数 字 签名 的 ,包含 公 钥 拥有 者 信息 以 及 公 钥 的 文件 。 
最 简单 的 证 书包 含 一 个 公 钥 、 名 称 以 及 CA 中 心 的 数字 签名 。 一 般 情况 下 证 书 中 还 包括 密 
钥 的 有 效 时 间 ,发 证 机 关 ( 证 书 授权 中 心 ) 的 名 称 和 该 证 书 的 序列 号 等 信息 。 

数字 证 书 利用 一 对 互相 匹配 的 密 钥 进行 加 密 和 解密 。 每 个 用 户 自己 设 定 一 个 特定 的 仅 
为 本 人 所 知 的 私 钥 , 用 它 进行 解密 和 签名 ; 同时 设 定 一 个 公 钥 并 公开 以 便 为 公众 所 共享 ,用 
于 加 密 和 验证 签名 。 当 发 送 一 份 保密 文件 时 ,发 送 方 使 用 接收 方 的 公 钥 对 数据 加 密 , 而 接收 
方 则 使 用 自己 的 私 钥 解密 ,这 样 信息 就 可 以 安全 无 误 地 到 达 目 的 地 。 通 过 数字 的 手段 保证 
加 密 过 程 是 一 个 不 可 逆 过 程 , 即 只 有 用 私 钥 才能 解密 。 

数字 证 书 通常 有 个 人 证 书 、 企 业 证 书 、 服 务 器 证 书 和 信用 卡 身 份 证 书 等 类 型 。 

(2) 数字 证 书 的 功能 

数字 证 书 认证 是 基于 国际 PKI( 公 开 密 钥 基 础 设施 ) 标 准 的 网 上 身份 认证 系统 进行 的 。 
数字 证 书 以 数字 签名 的 方式 通过 第 三 方 权威 认证 有 效 地 进行 网 上 身份 认证 ,帮助 网 上 各 个 
交易 实体 识别 对 方 身份 和 表明 自己 的 身份 ,具有 真实 性 和 防 抵赖 功能 。 与 物理 身份 证 不 同 
的 是 ,数字 证 书 还 具有 安全 保密 、 防 自 改 的 特性 ,可 对 网 上 传输 的 信息 进行 有 效 的 保护 和 安 
全 传输 。 例 如 , 随 着 电子 政务 的 发 展 ,网 上 报税 必 将 成 为 许多 企业 进行 日 常 税务 申报 的 常用 
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方式 。 网 上 报税 即 由 税务 部 门 建立 专门 的 申报 网 站 ,纳税 户 通过 Internet 访问 税务 部 门 网 
站 上 的 网 上 报税 系统 ,正确 填写 电子 化 申报 表 后 ,传送 申报 数据 至 税务 部 门 服务 器 ,税务 部 
门 对 这 些 数据 进行 处 理 、 存 储 , 并 将 处 理 结 果 反馈 给 纳税 人 。 在 此 过 程 中 ,纳税 人 通过 使 用 
标识 其 身份 的 数字 证 书 登录 网 上 纳税 服务 系统 ,就 可 以 安全 地 进行 网 上 税务 申报 。 所 有 诸 
如 企业 账号 、 纳 税额 等 申报 信息 都 是 经 过 高 强度 加 密 过 的 ,保证 信息 可 以 安全 无 误 地 在 纳税 
人 与 税务 系统 中 传输 。 同 时 也 可 以 表明 该 企业 的 有 效 身 份 并 证 明 其 纳税 事实 。 即 使 有 人 从 
中 非法 截获 有 关 信 息 ,他 也 无 法 知道 真实 内 容 。 

以 数字 证 书 为 核心 的 加 密 技术 可 以 对 网 络 上 传输 的 信息 进行 加 密 和 解密 、 数 字 签 名 和 
验证 ,确保 网 上 传递 信息 的 保密 性 ,完整 性 ,以 及 交易 实体 身份 的 真实 性 ,签名 信息 的 不 可 否 
认 性 ,从 而 保障 网 络 应 用 的 安全 性 。 数 字 证 书 主要 有 以 下 四 大 功能 : 

。 保证 信息 的 保密 性 。 交 易 中 的 商务 信息 均 有 保密 的 要 求 。 如 信用 卡 的 账号 和 用 户 

名 被 人 知悉 ,就 可 能 被 盗用 ; 订货 和 付款 的 信息 被 竞争 对 手 获悉 ,就 可 能 丧失 商机 。 
而 数字 证 书 可 保证 电子 商务 中 传输 信息 的 保密 性 。 

。 保证 信息 的 完整 性 。 交 易 中 数 据 文件 要 保持 其 完整 性 ,不 可 被 修改 和 增删 。 因 此 数 
字 证 书 可 确保 电子 交易 文件 的 完整 性 ,以 保证 交易 的 严肃 性 和 公正 性 。 

。 保证 交易 者 身份 的 真实 性 。 网 上 交易 的 双方 大 多 数 素 昧 平生 ,相隔 千里 。 要 使 交易 
成 功 首先 要 能 确认 对 方 的 身份 。 对 于 为 客户 服务 的 银行 、 信 用 卡 公 司 和 销售 商家 ， 
为 了 做 到 安全 保密 、 可 靠 地 开展 服务 活动 ,都 要 进行 身份 认证 的 工作 。 而 数字 证 书 
可 保证 网 上 交易 双方 身份 的 真实 性 ,银行 和 信用 卡 公司 可 以 通过 CA 认证 确认 身 
份 , 放 心地 开展 网 上 业务 。 

。 保证 交易 的 不 可 否认 性 。 由 于 商情 的 千变万化 ,交易 一 旦 达成 是 不 可 否认 的 ,否则 

必然 会 损害 交易 中 一 方 的 利益 。 数 字 证 书 具有 可 防止 这 种 否认 (抵赖 ) 性 的 功能 。 

(3) 数字 证 书 的 应 用 

数字 证 书 可 应 用 于 网 络 上 的 行政 管理 和 商务 活动 ,如 用 于 发 送 安全 电子 邮件 访问 安全 
站 点 、 网 上 证 券 、 网 上 招 投标 、 网 上 签约 、 网 上 办 公 、 网 上 缴费 、 网 上 纳税 等 网 上 安全 电子 事务 
处 理 和 安全 电子 交易 活动 。 其 应 用 范围 涉及 需要 身份 认证 及 数据 安全 的 各 个 行业 ,包括 传 
统 的 商业 、 制 造 业 、 流 通 业 的 网 上 交易 ,以 及 公共 事业 ,金融 服务 业 、 工 商 ,税务 海关、 教育 科 
研 单位 、 保 险 、 医 疗 等 网 上 作业 系统 。 

。 网 上 报税 。 为 了 配合 税务 机 关 和 企业 信息 化 工作 ,加 强 网 上 报税 系统 的 安全 性 ,CA 
中 心 可 向 税务 机 关 和 纳税 人 提供 权威 的 数字 认证 服务 。 利 用 基于 数字 证 书 的 用 户 
身份 认证 技术 对 网 上 报税 系统 中 的 申报 数据 进行 数字 签名 ,确保 申报 数据 的 完整 
性 ,确认 系统 用 户 的 真实 身份 和 申报 数据 的 真实 来 源 , 防 止 出 现 抵赖 行为 和 他 人 伪 
造 算 改 数据 ; 利用 基于 数字 证 书 的 安全 通信 技术 ,对 网 络 上 传输 的 机 密 信息 进行 加 
密 , 防 止 纳 税 人 商业 机 密 或 其 他 敏感 信息 的 泄露 。 
工商 管理 。 面 向 全 国 各 类 企业 的 工商 行政 管理 计算 机 信息 网 络 系统 可 以 使 工商 部 
门 更 加 有 效 地 管理 企业 ,并 且 保 证 企业 能 够 在 更 加 安全 的 网 络 环境 中 从 事 经 济 
活动 。 

网 上 办 公 。 网 上 办 公 系 统 综合 国内 政府 、 企 事业 单位 的 办 公 特点 ,提供 一 个 虚拟 的 
办 公 环 境 , 并 在 该 系统 中 嵌入 数字 认证 技术 ,开展 网 上 政文 的 上 传 下 达 。 通 过 网 络 
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联通 各 个 岗位 的 工作 人 员 , 通 过 数字 证 书 进行 数字 加 密 和 数字 签名 ,实行 跨 部 门 运 
作 , 实 现 安全 便捷 的 网 上 办 公 。 

网 上 招 投标 。 以 往 的 招 投标 受 时 间 、 地 域 、 人 文 等 影响 ,存在 着 许多 蜂 病 ,例如 外 地 
投标 者 的 不 便 、 招 投标 各 方 的 资质 ,以 及 招标 单位 和 投标 单位 之 间 存 在 的 秘密 关系 
等 。 而 实行 网 上 的 公开 招 投 标 , 招 投标 企业 只 有 在 通过 身份 和 资质 认证 后 , 才 可 在 
网 上 展开 招 投标 活动 ,从 而 确保 了 招 投标 企业 的 安全 性 和 合法 性 。 双 方 企业 通过 安 
全 网 络 通道 了 解 和 确认 对 方 的 信息 ,选择 符合 自己 条 件 的 合作 伙伴 ,确保 网 上 的 招 
投标 在 一 种 安全 、 透 明 \ 信 任 \ 合 法 、 高 效 的 环境 下 进行 。 

网 上 交易 。 利 用 数字 证 书 的 认证 技术 ,对 交易 双方 进行 身份 确认 以 及 资质 的 审核 ， 
确保 交易 者 信息 的 唯一 性 和 不 可 抵赖 性 ,保护 交易 各 方 的 利益 ,实现 安全 交易 。 
安全 电子 邮件 。 邮 件 的 发 送 方 利用 接收 方 的 公 钥 对 邮件 进行 加 密 , 邮 件 接收 方 用 自 
己 的 私 钥 解密 ,可 确保 邮件 在 传输 过 程 中 信息 的 安全 性 、 完 整 性 和 唯一 性 。 


574 ”安全套 接 层 (SSD 协 议 


1. SSL 协 议 概述 


SSL 协议 最 初 是 由 Netscape Communication 公司 为 了 保证 Web 通信 协议 的 安全 设计 
开发 的 ,又 叫 安全 套 接 层 (Secure Sockets Layer,SSL) 协 议 , 主 要 用 于 提高 应 用 程序 之 间 数 
据 的 安全 系数 。SSL 协议 可 概括 为 : 一 个 保证 任何 安装 了 安全 套 接 字 的 客户 机 和 服务 器 间 
事务 安全 的 协议 , 它 涉及 所 有 的 TCP/IP 应 用 程序 。SSL 协议 所 采用 的 加 密 算法 和 认证 算 
法 使 它 具有 较 高 的 安全 性 ,因此 它 很 快 成 为 事实 上 的 工业 标准 。 
SSL 协议 被 广泛 用 于 Internet 上 的 安全 传输 和 身份 验证 。 它 采用 公开 密 钥 技 术 , 其 目 
标 是 保证 收发 两 端 通信 的 保密 性 和 可 靠 性 ,可 在 服务 器 和 客户 机 两 端 同时 实现 。 现 行 的 
Web 浏览 器 普遍 将 HTTP 和 SSL 相 结 合 ,从 而 实现 Web 服务 器 和 客户 端 浏览 器 之 间 的 安 
全 通信 。 
SSL 采用 TCP 作为 传输 协议 提供 数据 的 可 靠 性 传输 。SSL 工作 在 传输 层 之 上 ,独立 于 
更 高 层 应 用 ,可 为 更 高 层 协议 (如 HTTP、FTP 等 ) 提 供 安全 服务 。SSL 协议 在 应 用 层 协 议 
通信 之 前 就 已 完成 了 加 密 算法 .通信 密 钥 的 协商 和 服务 器 认证 工作 。 在 此 之 后 应 用 层 协议 
所 传送 的 数据 都 会 被 加 密 , 从 而 保证 通信 的 保密 性 。 
SSL 协议 的 目标 就 是 在 通信 双方 利用 加 密 的 SSL 信道 建立 安全 的 连接 。SSL 不 是 一 
个 单独 的 协议 ,而 是 由 多 个 协议 构成 两 个 层次 ,其 中 主要 协议 是 记录 协议 和 握手 协议 。 
。 SSL 记录 协议 : SSL 记录 协议 涉及 应 用 程序 提供 的 信息 的 分 段 、 压 缩 、 数 据 认证 和 
加 密 。SSL v3 提供 对 数据 认证 用 的 MD5 和 SHA 以 及 数据 加 密 用 的 RC4 和 DES 
等 的 支持 ,用 来 对 数据 进行 认证 和 加 密 的 密 钥 可 以 通过 SSL 的 握手 协议 来 协商 。 

。 SSL 握手 协议 : SSL 握手 协议 用 来 交换 版 本 号 、 加 密 算法 、( 相 互 ) 身 份 认证 并 交换 
密 钥 。SSL v3 提供 对 Diffie-Hellman 密 钥 交换 算法 、 基 于 RSA 的 密 钥 交换 机 制 和 
实现 在 Fortezza chip 上 的 密 钥 交换 机 制 的 支持 。 
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2. SSL 协议 的 功能 


SSL 安全 协议 主要 提供 三 方面 的 服务 功能 : 

(1) 用 户 和 服务 器 的 合法 性 认证 。 认 证 用 户 和 服务 器 的 合法 性 ,能 够 确信 数据 将 被 发 
送 到 正确 的 客户 机 和 服务 器 上 。 客 户 机 和 服务 器 都 是 有 各 自 的 识别 号 ,这 些 识 别 号 由 公开 
密 钥 进行 编号 ,为 了 验证 用 户 是 否 合法 ,SSL 协议 要 求 在 握手 交换 数据 时 进行 数字 认证 ,以 
此 来 确保 用 户 的 合法 性 。 

(2) 数据 加 密 。SSL 协议 所 采用 的 加 密 技术 既 有 对 称 密 钥 技 术 , 也 有 公开 密 钥 技术 。 
在 客户 机 与 服务 器 进行 数据 交换 之 前 ,交换 SSL 初始 握手 信息 ,在 SSL 握手 信息 中 采用 各 
种 加 密 技术 对 其 加 密 , 以 保证 其 保密 性 和 数据 的 完整 性 ,并 且 用 数字 证 书 进行 鉴别 ,这 样 就 
可 以 防止 非法 用 户 进行 破译 。 

(3) 数据 的 完整 性 。SSL 协议 采用 Hash 函数 和 机 密 共享 的 方法 提供 信息 的 完整 性 服 
务 ,建立 客户 机 与 服务 器 之 间 的 安全 通道 ,使 所 有 经 过 SSL 协议 处 理 的 业务 在 传输 过 程 中 
能 全 部 准确 地 到 达 目 的 地 。 

SSL 协议 是 一 个 保证 计算 机 通信 安全 的 协议 ,对 通信 对 话 过 程 进行 安全 保护 。 例 如 ， 
一 台 客 户 机 与 一 台 主 机 连接 ,首先 是 要 初始 化 握手 协议 ,然后 就 建立 了 一 个 SSL ,对 话 开始 。 
直到 对 话 结束 ,SSL 协议 都 会 对 整个 通信 过 程 加 密 , 并 且 检 查 其 完整 性 。 这 样 一 个 对 话 时 
段 算 一 次 握手 。 而 HTTP 协议 中 的 每 一 次 连接 就 是 一 次 握手 。 因 此 ,与 HTTP 相 比 ,SSL 
协议 的 通信 效率 会 高 一 些 。 


3. SSL 协议 的 实现 过 程 


SSL 协议 对 通信 对 话 过 程 进 行 安全 保护 。 其 实现 过 程 主要 有 如 下 几 个 阶段 : 

(1) 接 通 阶段 。 客 户 机 通过 网 络 向 服务 器 打招呼 ,服务 器 回应 。 

(2) 密码 交换 阶段 。 客 户 机 与 服务 器 之 间 交 换 双 方 认可 的 密码 ,一般 选用 RSA 密码 算 
法 ,也 有 的 选用 Diffie-Hellman 密码 算法 。 

(3) 会 话 密 码 阶段 。 客 户 机 与 服务 器 间 产 生 彼 此 交流 的 会 话 密码 。 

(4) 检验 阶段 。 客 户 机 检验 服务 器 取得 的 密码 。 

(5) 客户 认证 阶段 。 服 务 器 验证 客户 机 的 可 信 度 。 

(6) 结束 阶段 。 客 户 机 与 服务 器 之 间 相 互 交换 结束 信息 。 

当 上 述 动作 完成 后 ,两 者 间 的 资料 传送 就 是 保密 的 。 当 另 一 方 收 到 资料 后 ,再 将 加 密 资 
料 还 原 。 即 使 盗窃 者 在 网 络 上 取得 加 密 后 的 资料 ,也 不 能 获得 可 读 的 有 用 信息 。 

发 送 时 信息 用 对 称 密 钥 加 密 , 对 称 加 密 的 密 钥 再 用 公 钥 算法 加 密 , 最 后 再 把 两 个 包 绑 在 
一 起 传送 。 接 收 的 过 程 与 发 送 正 好 相反 , 先 打 开 有 对 称 密 钥 的 加 密 包 ,再 用 对 称 密 钥 解密 加 
密 的 信息 。 


4. SSL 协议 的 应 用 


SSL 协议 主要 使 用 公开 密 钥 体制 和 X. 509 数字 证 书 技术 保护 信息 传输 的 保密 性 和 完 
整 性 ,但 不 能 保证 信息 的 不 可 抵赖 性 。 它 主要 适用 于 点 对 点 之 间 的 信息 传输 ,常用 Web 服 
务 器 方式 。 
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SSL 是 基于 Web 应 用 的 安全 协议 , 它 包 括 : 服务 器 认证 、 客 户 认 证 (可 选 )、SSL 链 路 
上 的 数据 完整 性 和 SSL 链 路 上 的 数据 保密 性 。 电 子 商 务 应 用 使 用 SSL 可 保证 信息 的 真 
实 性 完整 性 和 保密 性 。 但 由 于 SSL 不 对 应 用 层 的 消息 进行 数字 签名 ,因此 不 能 提供 交 
易 的 不 可 否认 性 ,这 是 SSL 在 电子 商务 中 使 用 的 最 大 不 足 。 有 鉴于 此 ,Netscape 公司 在 
从 Communicator 4. 04 版 开始 的 所 有 浏览 器 中 引入 了 一 种 被 称 做 “表单 签名 ”的 功能 ,在 
电子 商务 中 ,可 利用 这 一 功能 对 包含 购买 者 的 订购 信息 和 付款 指令 的 表单 进行 数字 签 
名 ,从 而 保证 交易 信息 的 不 可 否认 性 。 因 此 说 ,在 电子 商务 中 采用 单一 的 SSL 协议 来 保 
证 交易 的 安全 是 不 够 的 ,但 采用 “SSL 十 表单 签名 ”模式 能 够 为 电子 商务 提供 较 好 的 安全 
性 保证 。 

在 电子 商务 交易 过 程 中 ,由 于 有 银行 参与 ,按照 SSL 协议 ,客户 的 购买 信息 首先 发 往 商 
家 ,商家 再 将 信息 转发 银行 ,银行 验证 客户 信息 的 合法 性 后 ,通知 商家 付款 成 功 ,商家 再 通知 
客户 购买 成 功 ,并 将 商品 寄 送 客户 。 

SSL 安全 协议 是 国际 上 最 早 应 用 于 电子 商务 的 一 种 网 络 安 全 协议 ,至 今 仍然 有 很 多 网 
上 商家 使 用 。 在 传统 的 邮购 活动 中 ,客户 首先 寻找 商品 信息 ,然后 汇款 给 商家 ,商家 将 商品 
寄 给 客户 。 这 里 ,商家 是 可 以 信赖 的 ,所 以 客户 先 付款 给 商家 。 在 电子 商务 的 开始 阶段 , 商 
家 也 是 担心 客户 购买 后 不 付款 ,或 使 用 过 期 的 信用 卡 , 因 而 希望 银行 给 予 认证 。SSL 安全 
协议 正 是 在 这 种 背景 下 产生 的 。 

SSL 协议 和 运行 的 基点 是 商家 对 客户 信息 保密 的 承诺 。 但 在 上 述 流程 中 可 注意 到 ,SSL 
协议 有 利于 商家 而 不 利于 客户 。 客 户 的 信息 首先 传 到 商家 ,商家 阅读 后 再 传 至 银行 ,这 样 ， 
客户 资料 的 安全 性 便 受 到 威胁 。 商 家 认证 客户 是 必要 的 ,但 整个 过 程 中 ,缺少 了 客户 对 商家 
的 认证 。 在 电子 商务 的 开始 阶段 ,由 于 参与 电子 商务 的 公司 大 都 是 一 些 大 公司 ,信誉 较 高 ， 
这 个 问题 没有 引起 人 们 的 注意 。 随 着 电子 商务 参与 的 厂商 迅速 增加 ,对 厂商 的 认证 问题 越 
来 越 突 出 ,SSL 协议 的 缺点 完全 暴露 出 来 。SSL 协议 将 逐渐 被 新 的 电子 商务 协议 (如 SET) 
所 取代 。 


57.5 安全 电子 交易 (SET) 协 议 


1. SET 协议 概述 


电子 商务 在 为 人 们 提供 机 遇 和 便利 的 同时 ,也 面临 着 一 个 最 大 的 挑战 , 即 交 易 的 安全 问 
题 。 在 开放 的 Internet 上 处 理 电 子 商 务 ,保证 买卖 双方 传输 数据 的 安全 已 成 为 电子 商务 的 
重要 问题 。 在 网 上 购物 的 环境 下 , 持 卡 人 希望 在 交易 中 保密 自己 的 账户 信息 ,使 之 不 被 人 盗 
用 ; 商家 则 希望 客户 的 订单 不 可 抵赖 , 且 在 交易 过 程 中 ,交易 各 方 都 希望 验 明 其 他 方 的 身 
份 ,以 防止 被 欺骗 。 为 了 克服 SSL 安全 协议 的 缺点 ,满足 电子 交易 持续 不 断 地 增加 的 安全 
要 求 ,由 美国 Visa 和 MasterCard 两 大 信用 卡 组 织 联合 国际 上 多 家 科技 机 构 , 共 同 制定 了 应 
用 于 Internet 上 以 银行 卡 为 基础 进行 在 线 交 易 的 安全 标准 ,这 就 是 安全 电子 交易 (Secure 
Electronic Transaction,SET) 协 议 。 

SET 协议 采用 公 钥 密码 体制 和 X. 509 数字 证 书 标准 。SET 提供 了 消费 者 、 商 家 和 银 
行 之 间 的 认证 ,确保 了 交易 数据 的 安全 性 、 完 整 性 和 交易 的 不 可 否认 性 ,特别 是 保证 不 将 消 
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费 者 的 银行 卡号 暴露 给 商家 等 优点 ,因此 它 成 为 了 目前 公认 的 信用 卡 / 借 记 卡 网 上 交易 的 国 
际 安全 标准 。 

SET 是 一 个 为 在 线 交 易 而 设立 的 开放 性 电子 交易 系统 规范 。SET 在 保留 对 客户 信用 
卡 认证 的 前 提 下 ,又 增加 了 对 商家 身份 的 认证 ,这 对 于 需要 支付 货币 的 交易 来 讲 是 至 关 重 要 
的 。 由 于 设计 合理 ,SET 协议 得 到 了 许多 大 公司 和 消费 者 的 支持 ,已 成 为 全 球 网 络 的 工业 
标准 ,其 交易 形态 将 成 为 未 来 “电子 商务 ”的 规范 。 

SET 协议 主要 使 用 电子 认证 技术 ,其 认证 过 程 使 用 RSA 和 DES 算法 ,因此 ,可 以 为 电 
子 商务 提供 很 好 的 安全 保护 。SET 协议 使 用 以 对 称 和 非 对 称 加 密 技术 为 基础 的 数字 信封 
技术 ,数字 签名 技术 .信息 摘要 技术 等 保证 数据 传输 和 处 理 的 安全 性 。 可 以 说 ,SET 规范 是 
目前 电子 商务 中 最 重要 的 协议 , 它 的 推出 必 将 大 大 促进 电子 商务 的 繁荣 和 发 展 。SET 将 建 
立 一 种 能 在 Internet 上 安全 使 用 银行 卡 进行 购物 的 标准 。SET 规范 是 一 种 为 基于 信用 卡 
而 进行 的 电子 交易 提供 安全 措施 的 规则 ,是 一 种 能 广泛 应 用 于 Internet 的 安全 电子 交易 协 
议 , 它 能 够 将 普遍 应 用 的 信用 卡 使 用 起 始点 从 目前 的 商家 扩展 到 消费 者 家 里 和 消费 者 的 个 
人 计算 机 中 。 

由 于 SET 规范 是 由 信用 卡 发 卡 公 司 参与 制定 的 ,一 般 认 为 ,SET 的 认证 系统 是 有 效 
的 。 当 一 位 供 货 商 在 计算 机 上 收 到 一 张 有 SET 签证 的 订单 时 , 供 货 商 就 可 以 确认 该 订单 背 
后 是 有 一 张 合法 的 信用 卡 支持 ,这 时 他 就 能 放心 地 接 下 这 笔 生意 ,同样 ,由 于 有 SET 作 保 
障 , 发 出 订单 的 客户 也 会 确认 自己 是 在 与 一 个 诚实 的 供 货 商 做 买卖 ,因为 该 供 货 商 受 到 
Visa 或 MasterCard 发 卡 组 织 的 信赖。 


2. SET 协议 涉及 的 范围 


采用 SET 协议 进行 网 上 交易 时 ,主要 涉及 消费 者 ,发 卡 机 构 、 商 家 、 银 行 .支付 网 关 和 
CA 认证 中 心 ,参见 引言 的 图 0. 2。 
消费 者 : 它 是 用 信用 卡 结算 的 人 ,他 们 通过 Web 浏览 器 或 客户 端 软件 购物 。 
发 卡 机 构 : 它 是 为 消费 者 发 行 信用 卡 的 金融 机 构 , 它 为 消费 者 开设 账户 ,并 发 放 用 
于 网 上 支付 的 信用 卡 。 
商家 : 它 是 交易 商品 的 提供 者 ,在 Internet 上 提供 在 线 商 家 ,接受 消费 者 持 卡 支付 。 
银行 : 它 接受 发 卡 机 构 、 消 费 者 和 商家 的 委托 ,处 理 支付 卡 的 认证 、 在 线 支付 和 电子 
转账 。 
支付 网 关 : 它 将 公共 网 络 上 传输 的 数据 转换 为 金融 机 构 的 内 部 数据 ,并 处 理 商家 的 
支付 信息 和 持 卡 人 的 支付 指令 ,并 对 商家 和 持 卡 人 进行 身份 验证 。 
CA 认证 中 心 : 它 确认 消费 者 .商家 和 银行 身份 ,为 电子 交易 参与 方 颁发 证 书 ,提供 
权威 身份 证 明 。 

因此 ,SET 协议 涉及 的 与 之 打交道 各 方 的 证 书 有 消费 者 证 书 、 商 家 证 书 、 支 付 网 关 证 
书 、 银 行 证 书 和 发 卡 机 构 证 书 。 


3. SET 协议 的 目标 


SET 协议 要 达到 的 目标 主要 有 以 下 五 个 : 
。 保证 电子 商务 参与 者 信息 的 相互 隔离 ,客户 的 资料 加 密 或 打包 后 经 过 商家 到 达 银 
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行 ,但 是 商家 不 能 看 到 客户 的 账户 和 密码 信息 。 
。 保证 信息 在 Internet 上 安全 传输 ,防止 数据 被 第 三 方 窃取 。 
解决 多 方 认 证 问题 ,不 仅 要 对 消费 者 的 信用 卡 认 证 ,而 且 要 对 在 线 商 家 的 信誉 程度 
认证 ,同时 还 有 消费 者 \ 在 线 商家 与 银行 间 的 认证 。 
保证 网 上 交易 的 实时 性 ,使 所 有 的 支付 过 程 都 是 在 线 的 。 
。 规范 协议 和 信息 格式 ,促使 不 同 厂 家 开发 的 软件 具有 兼容 性 和 互 操 作 功 能 ,并 且 可 
以 运行 在 不 同 的 硬件 和 操作 系统 平台 上 。 


4. SET 协议 的 工作 过 程 


SET 协议 的 工作 过 程 主要 包括 以 下 7 个 步骤 (参见 图 0. 2) : 

(1) 消费 者 利用 已 有 的 计算 机 通过 Internet 选 定 物品 ,并 下 电子 订单 。 

(2) 通过 电子 商务 服务 器 与 网 上 商场 联系 ,网 上 商场 做 出 应 答 ,告诉 消费 者 订单 的 相关 
情况 。 

(3) 消费 者 选择 付款 方式 ,确认 订单 ,签发 付款 指令 (此 时 SET 介入 ) 。 

(4) 在 SET 协议 中 ,消费 者 必须 对 订单 和 付款 指令 进行 数字 签名 ,同时 利用 双重 签名 
技术 保证 安全 。 

(5) 在 线 商家 接受 订单 后 ,向 消费 者 所 在 银行 请 求 支付 认可 ,信息 通过 支付 网 关 到 收 单 
银行 ,再 到 电子 货币 发 行 公司 确认 ,批准 交易 后 ,返回 确认 信息 给 在 线 商 家 。 

(6) 在 线 商家 发 送 订 单 确认 信息 给 消费 者 ,消费 者 端 软件 可 记录 交易 日 志 , 以 备 将 来 
查询 。 

(7) 在 线 商家 发 送 货物 或 提供 服务 ,并 通知 收 单 银行 将 钱 从 消费 者 的 账号 转移 到 商家 
账号 ,或 通知 发 卡 银行 请 求 支付 。 

从 1997 年 SET 协议 正式 发 布 以 来 ,大 量 的 现场 实验 和 实施 效果 获得 了 业界 的 支持 , 促 
进 了 SET 良好 的 发 展 。 


58 加 密 软 件 PGP 及 其 应 用 


1. PGP 概述 


PGP(Pretty Good Privacy) 是 一 个 广泛 应 用 于 电子 邮件 和 文件 加 密 的 软件 ,推出 后 受 
到 众多 用 户 的 支持 ,已 成 为 电子 邮件 加 密 的 事实 上 的 标准 。 

PGP 把 RSA 公 钥 体系 的 密 钥 管理 方便 和 传统 加 密 体系 的 高 速度 结合 起 来 ,并 且 在 数 
字 签 名 和 密 钥 认 证 管理 机 制 上 有 巧妙 的 设计 。 虽 然 PGP 主要 是 基于 公 钥 加 密 体系 的 ,但 它 
不 是 一 种 完全 的 公 钥 加 密 体 系 ,而 是 一 种 混合 加 密 算 法 。 它 是 由 一 个 对 称 加 密 算法 
(IDEA) 一 个 非 对 称 加 密 算法 (RSA) 、 一 个 单 向 散 列 算法 (MD5) 以 及 一 个 随机 数 产生 器 组 
成 的 ,每 种 算法 都 是 PGP 不 可 分 割 的 组 成 部 分 。PGP 之 所 以 得 到 流行 ,得 到 大 家 的 认可 ， 
最 主要 是 它 集中 了 几 种 加 密 算 法 的 优点 ,使 它们 彼此 得 到 互补 。 

PGP 的 巧妙 之 处 在 于 它 汇集 了 各 种 加 密 方 法 的 精华 。PGP 实现 了 目前 大 部 分 流行 的 
加 密 和 认证 算法 ,如 DES、IDEA、RSA 及 MD5 SHA 等 算法 。 
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PGP 软件 兼 有 加 密 和 签名 两 种 功能 。 它 不 但 可 以 对 用 户 的 邮件 保密 ,以 防止 非 授 权 者 
阅读 ,还 能 对 邮件 进行 数字 签名 ,使 收 信 人 确信 邮件 未 被 第 三 者 自 改 。 在 PGP 中 ,主要 使 用 
IDEA 算法 对 数据 进行 加 密 ( 因 为 它 速 度 快 、 安 全 性 好 ) ,使 用 RSA 算法 对 IDEA 的 密 钥 进 
行 加 密 ( 因 为 RSA 公 钥 算法 的 密 钥 管理 方便 )。 这 样 ,两 类 体制 的 算法 结合 在 一 起 实现 加 密 
功能 ,突出 了 各 自 的 优点 。PGP 还 使 用 MD5 作为 散 列 函 数 ,对 数据 的 完整 性 进行 保护 ,并 
与 加 密 算法 结合 ,提供 数字 签名 功能 。PGP 的 加 密 功能 和 签名 功能 可 以 单独 使 用 ,也 可 以 
同时 使 用 。 

PGP 还 可 以 只 签名 而 不 加 密 , 这 适用 于 用 户 发 布 公开 的 情况 。 用 户 为 了 证 实 自己 的 身 
份 , 在 发 送信 件 时 用 自己 的 私 钥 签 名 。 这 样 就 可 以 让 收 信人 能 确认 发 信人 的 身份 ,也 可 以 防 
止 发 信人 进行 抵赖 ,这 一 点 在 商业 领域 有 很 大 的 应 用 前 途 。 

PGP 给 邮件 加 密 和 签名 的 过 程 是 这 样 的 : 首先 甲 用 自己 的 私 钥 将 由 MD5 算法 得 到 的 
128 位 的 “邮件 摘要 ”加 密 ( 即 签名 ) ,附加 在 邮件 后 ; 再 用 乙 的 公 钥 将 整个 邮件 加 密 ( 要 注意 
这 里 的 次 序 , 如 果 先 加 密 再 签名 ,别人 可 以 将 签名 去 掉 后 签 上 自己 的 名 ,从 而 算 改 了 签名 )。 
这 样 这 份 密 文 被 乙 收 到 以 后 , 乙 用 自己 的 私 钥 将 邮件 解密 ,得 到 甲 的 原文 和 签名 ; 乙 也 利用 
MD5 算法 从 原文 计算 出 一 个 128 位 的 特征 值 , 再 将 其 与 用 甲 的 公 钥 解密 签名 所 得 到 的 数据 
进行 比较 。 如 果 比 较 相 符 , 则 说 明 这 份 邮件 确实 是 甲 寄 发 的 。 这 样 ,保密 性 和 认证 性 要 求 都 
得 到 了 满足 。 

对 PGP 来 说 , 公 钥 本 来 就 是 公开 的 ,不 存在 防 偷盗 问题 ,但 公 钥 在 发 布 中 仍然 存在 被 算 
改 和 冒充 的 问题 。PGP 对 该 问题 采用 CA( 权 威 机 构 ) 认 证 方法 解决 。 而 私 钥 相 对 于 公 钥 而 
言 不 存在 被 筑 改 的 问题 ,但 却 存在 泄露 的 问题 。 对 此 ,PGP 的 解决 办 法 是 让 用 户 为 随机 生 
成 的 RSA 私 钥 指定 一 个 口令 ,只 有 通过 增加 口令 才能 将 私 钥 释 放出 来 使 用 , 私 钥 的 安全 性 
问题 实际 上 是 对 用 户口 令 的 保密 。 


2. PGP 的 应 用 实例 


PGP 可 以 用 来 对 文件 或 邮件 进行 加 密 , 以 防止 非 授权 者 阅读 。 它 还 能 对 用 户 的 文件 或 
邮件 加 上 数字 签名 ,从 而 可 以 让 收 件 人 能 确认 发 信人 的 身份 ,也 可 以 防止 发 信人 的 抵赖 
行为 。 

(1) PGP 软件 的 下 载 并 安装 

在 网 上 很 多 站 点 都 可 以 自由 下 载 到 免费 版 本 的 PGP 软件 ,比较 权威 的 地 址 是 http:// 
www. pgpi. org。 现 在 网 上 免费 的 PGP 新 版 本 也 很 多 ,但 有 些 还 不 太 成 熟 和 稳定 。 这 里 仍 
以 较 权 威 和 稳定 的 PGP 8. 0. 2 全 免费 版 本 为 例 介 绍 其 应 用 。 

从 http://www. pgpi. org 上 下 载 PGP 8. 0.2, 其 容量 为 8.9MB。 下 载 后 点 击 安装 文件 
开始 安装 。 出 现 *Welcome” 界 面 .文档 说 明和 ReadMe 等 窗口 。 随 后 可 按 提示 输入 用 户 名 
和 机 构 名 ,选择 安装 路 径 。 如 果 你 是 第 一 次 使 用 PGP, 则 在 如 图 5. 16 所 示 对 话 框 中 选择 
“No,Tm a New User” 选 项 。 接 下 来 一 路 确认 ( 按 “Yes" 或 “Next”) 即 可 。 安 装 完毕 后 重新 
启动 系统 ,系统 会 自动 缩 为 托盘 上 的 一 个 小 锁 头 图 标 。 

(2) 选取 密 钥 

PGP 使 用 IDEA 算法 加 密 数 据 ,IDEA 的 密 钥 使 用 RSA 或 DH 算法 进行 加 密 。 
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重启 后 进入 密 钥 选取 阶段 。 按 提示 给 出 用 户 全 名 和 邮件 地 址 后 ,选取 密 钥 并 再 次 确认 
该 密 钥 ,如 图 5. 17 所 示 ; 密 钥 选 取 后 按 “ 下 一 步 ” 按 钮 。 这 次 选取 的 是 对 称 密 钥 ( 即 加 密 数 
据 用 的 IDEA 密 钥 ) 。 


User Type 
Please tal us if you have existing PGP Keyings you'd Bke to use. 


Doyou aheady have PGP keyrings you would ike to use? 


Yes. | aheady have keyings 


® No,ImaNew Used 


Passphtase Assignment 
Your private key wil be protected by a passphiase ltis mportant that you keep this 
passphrase sectet and do not wte R down. 


Your passphrase should be a least 8 characters ong and shoud contain 
om charactets 


Hde Typing 


图 5.17 选取 密 钥 并 确认 


RSA 和 DH 都 是 公 钥 密 码 系统 算法 ,它们 的 密 钥 都 有 两 个 , 即 公 钥 和 私 钥 对 。 下 面 来 
选取 公 钥 和 私 钥 。 

PGP 软件 包 中 有 “Documentation”、“PGPdisk”、“PGPkeys” 和 “PGPmail” 四 项 。 从 “ 开 
始 ”| “程序 ”| “PGP” 找 到 PGP 软件 包 , 从 中 选择 “PGPkeys”, 可 看 到 如 图 5. 18 所 示 窗 
口 。 选 择 该 窗口 工具 栏 最 左 端 的 选择 密 钥 对 的 工具 项 ,可 得 到 相应 的 PGP 加 密 和 签名 用 
的 公 钥 (pubring) 与 私 钥 (Csecring) ,如 图 5. 19 所 示 。 选 取 公 钥 和 私 钥 对 后 ,用 户 要 小 心 保 
存 自己 的 私 钥 ,把 公 钥 通过 你 的 朋友 签名 发 送 给 其 他 朋友 ,或 发 到 网 上 公共 的 PGP 管理 
服务 器 。 
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界 Pcpkeys 


Eile Ldit Yer keys Server Groups Help 


小 温 岁 辐 站 论 岂 电 咏 


kenSS8163. con, bp 
ansheag ysliwesjta .. SB za 2048/1024 IN/LSS key puir 
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图 5.18 PGPkeys 窗口 
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图 5. 19 公 钥 和 私 钥 显 示 


(3) 加 密 

进入 “开始 ”|“ 程 序 ”|“PGP” 找 到 PGP 软件 包 , 从 中 选择 “PGPmail”, 可 得 到 如 
图 5. 20 所 示 的 工具 箱 。 

该 工具 箱 的 图 标 含义 从 左 到 右 依 次 为 “PGPkeys”、 
“Encrypt”、 “Sign”、 “Encrypt & Sign”、 “Decrypt/ 
Verify” “Wipe” 和 *Freespace Wipe”。 

选择 工具 箱 中 的 “Encrypt”, 可 进行 文件 加 密 。 首 先 在 单 击 *Encrypt? 工 具 后 出 现 的 窗 
口中 选择 要 被 加 密 的 文件 ,如 图 5. 21 所 示 。 单 击 “ 打 开 ” 按 钮 后 出 现 如 图 5. 22 所 示 窗 口 。 
在 窗口 中 选择 要 加 密 文件 的 阅读 者 (中 间 栏 带 有 邮件 地 址 的 部 分 ,可 以 是 别人 的 ,也 可 以 是 
自己 的 )。 该 窗口 中 的 选项 “Text Output”、“Input Is Text”、“ Wipe Original ”和 
“Conventional Encryption” 分 别 表示 “输出 文本 形式 的 加 密 文件 ” “输入 的 是 文本 文件 ”、 
“彻底 销毁 原始 文件 ”和 “用 传统 体制 加 密 ”( 不 用 公 钥 系统 ,只 能 留 着 自己 看 )。 选 中 “Text 
Output”, 单 击 *OK” 按 钮 , 即 可 得 到 已 加 密 的 文件 , 密 文 以 文本 形式 存储 。 

(4) 签名 

选择 工具 箱 中 的 “Sign”, 可 进行 文件 签名 。 首 先 在 单 击 “Sign” 工 具 后 出 现 的 窗口 中 选 
择 要 被 签名 的 文件 ,类 似 图 5. 21。 然 后 , 单 击 * 打 开 ? 按 钮 后 出 现 如 图 5. 23 所 示 要 求 输入 密 


图 5.20 工具 箱 
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图 5.21 选择 加 密 的 文件 
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图 5.22 选择 加 密 文件 阅读 者 


码 的 窗口 。 输 入 密码 后 单 击 “OK" 按 钮 , 即 可 得 到 签 过 名 的 文件 。 签名 后 会 出 现 如 
图 5. 24 所 示 记 录 和 窗口 ,该 记录 包括 用 户 名 、 签 名 者 、 密 钥 ID 号 有效 ( 有 法 律 效力 ) 状 态 和 
日 期 。 
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图 5.23 输入 密码 


图 5.24 验证 
(5) 加 密 并 签名 


选择 工具 箱 中 的 “Encrypt & Sign”, 可 对 文件 进行 加 密 并 签名 。 首 先 在 单 击 “Encrypt 
& Sign” 工 具 后 出 现 的 窗口 中 选择 要 被 加 密 和 签名 的 文件 , 单 击 “ 打 开 ” 按 钮 后 出 现 类 似 
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图 5. 22 所 示 的 窗口 ,选中 “Text Output” 后 单 击 “*OK” 按 钮 (此 时 表示 加 密 过 程 完成 ) ,然后 
又 出 现 类 似 图 5. 23 所 示 的 要 求 输入 密码 的 窗口 ,输入 签名 密码 后 单 击 “*OK” 按 钮 (此 时 表示 
签名 过 程 完成 ), 即 可 得 到 被 加 密 和 签名 的 文件 ,这 些 文件 被 加 上 较 形象 的 标记 , 如 
图 5. 26 所 示 。 
(6) 解密 和 验证 
选择 “Decrypt/Verify”, 可 对 被 加 密 和 签名 的 文件 进行 解密 和 验证 。 首 先 在 单 击 
“Decrypt/Verify” 工 具 后 出 现 的 窗口 中 选择 要 被 解密 的 文件 , 单 击 " 打 开 ” 按 钮 后 出 现 类 似 
图 5. 25 所 示 的 、 要 求 输入 密 钥 的 窗口 ,输入 密 钥 后 单 击 *OK” 按 钮 ,系统 会 提示 解密 后 的 文 
件 要 存储 的 路 径 和 文件 名 ,输入 后 单 击 “ 保 存 ” 按 钮 ,就 得 到 了 解密 过 的 文件 。 

如 果 该 文件 是 被 加 密 后 又 进行 了 签名 ,那么 在 解密 该 文件 后 会 再 出 现 要 求 你 输入 密码 
的 窗口 , 当 你 输入 密码 后 就 完成 了 反 签 名 (验证 ?过 程 ,得 到 了 原文 件 。 

(7) 文件 销毁 

文件 销毁 操作 很 简单 。 单 击 工 具 箱 中 的 “Wipe” 后 ,出现 如 图 5. 26 所 示 的 窗口 ,选择 要 
被 销毁 的 文件 后 , 单 击 “ 打 开 ” 按 钮 ,再 确认 ( 单 击 *Yes” 按 钮 ) ,至 此 这 个 文件 就 被 销毁 了 。 
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:|PGP Files 人, pep, *. asc, *. sig) v 
图 5.25 输入 解密 密 钥 图 5.26 加 密 和 签名 的 文件 显示 
习题 和 思考 题 
一 、 问 答题 
1. 简 述 密码 学 的 两 方面 含义 。 
2. 何 为 分 组 密码 和 序列 密码 ? 
3. 何 为 移 位 密码 和 蔡 代 密码 ? 举例 说 明 。 
4. 简 述 对 称 密 钥 密码 和 非 对称 密 钥 密 码 体制 及 其 特点 。 
5. 简 述 链 路 加 密 和 端 - 端 加 密 。 
6. PGP 软件 的 功能 是 什么 ? 可 应 用 在 什么 场合 ? 
7. 简 述 数字 签名 的 功能 。 
二 、 填空 题 
1. 密码 学 包括 密码 编码 学 和 两 部 分 。 后 者 是 研究 密码 变化 的 规律 并 用 于 分 


析 密 码 以 获取 信息 情报 的 科学 , 即 研究 如 何 一 个 密码 系统 ,恢复 被 隐藏 信息 的 本 来 
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面目 。 
2. 把 明文 变换 成 密 文 的 过 程 叫 ; 解密 过 程 是 利用 解密 密 钥 ,对 按照 
解密 算法 规则 变换 ,得 到 的 过 程 。 
3. 网 络 通信 加 密 主要 有 和 端 - 端 加 密 方式 。 
4. 对 称 密码 体制 和 公 钥 密码 体制 的 代表 算法 分 别 是 。” 和 。 
5. 公 钥 密码 体制 中 一 个 密 钥 是 的 , 另 一 个 是 的 ,对 称 密码 体制 中 加 
密 和 解密 密 钥 都 是 的 。 
6. 密 钥 管理 的 主要 过 程 有 密 钥 的 产生 、 和 8 
7. 数字 证 书 有 \ 保 证 交易 实体 身份 的 真实 性 和 四 大 功能 。 
8. 鉴别 包括 和 身份 验证 ,常用 的 身份 验证 的 方法 有 和 
等 。 
9. PGP 使 用 混合 加 密 算 法 , 它 是 由 一 个 对 称 加 密 算法 和 一 个 非 对 称 加 密 算法 
实现 数据 的 加 密 。 
10. PGP 软件 不 仅 有 功能 ,还 有 功能 。 这 两 种 功能 可 以 同时 使 用 ,也 
可 以 使 用 。 
三 、 单 项 选择 题 
1. 在 加 密 时 将 明文 中 的 每 个 或 每 组 字符 由 另 一 个 或 男 一 组 字符 所 替换 , 原 字符 被 隐藏 
起 来 ,这 种 密码 叫 (。”)。 
A. 移 位 密码 B. 替代 密码 C. 分 组 密码 D. 序列 密码 
2. 如 果 加 密 密 钥 和 解密 密 钥 相同 或 相近 ,这样 的 密码 系统 称 为 (  ) 系 统 。 
A. 对 称 密 码 B. 非 对 称 密码 C. 公 钥 密码 D. 分 组 密码 
3. DES 算法 一 次 可 用 56 位 密 钥 组 把 ( ) 位 明文 (或 密 文 ) 组 数据 加 密 ( 或 解密 ) 。 
A B. 48 C. 64 b:, 128 
4.( ) 是 典型 的 公 钥 密码 算法 。 
A. DES B. IDEA C. MD5 D. RSA 


5. CA 认证 中 心 没有 (1) 功 能 ,(2) 也 不 是 数字 证 书 的 功能 。 
(1) A. 证 书 的 颁发 B. 证 书 的 申请 C. 证 书 的 查询 D. 证 书 的 归档 
(2) A. 保证 交易 者 身份 的 真实 性 B. 保证 交易 的 不 可 否认 性 
C. 保证 数据 的 完整 性 D. 保证 系统 的 可 靠 性 
6. 在 RSA 算法 中 , 取 密 钥 e==3,d 二 7, 则 明文 4 的 密 文 是 ( )。 
A 28 B. 29 C; 30 起 淹 
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本 章 要 点 

。 防火 墙 的 概念 、 功 能 和 类 型 

。 防火 墙 技术 ; 

。 防火 墙 的 体系 结构 

。 防火 墙 的 应 用 与 发 展 ; 

。 典型 防火 墙 的 应 用 ; 

。 ICF 的 配置 。 

网 络 的 安全 问题 是 强调 统一 而 集中 的 安全 管理 和 控制 ,采取 加 密 、 认 证 ,访问 控制 .审计 
以 及 日 志 等 多 种 技术 手段 进行 , 且 它 们 的 实施 可 由 通信 双方 共同 完成 。 但 由 于 Internet 是 
一 个 开放 式 的 全 球 性 网 络 , 其 结构 错综复杂 ,网 上 的 浏览 访问 不 仅 使 数据 传输 量 增加 ,网 络 
被 攻击 的 可 能 性 也 增 大 。 因 此 ,涉及 Internet 的 安全 技术 应 是 传统 的 集中 式 安 全 控制 和 分 
布 式 安全 控制 相 结 合 的 技术 。 因 而 ,网 络 防火 墙 技术 应 运 而 生 。 


6.1 防火 墙 概 述 


为 了 保护 网 络 ( 特 别 是 企业 内 部 网 资源 的 安全 ,人 们 创建 了 网 络 防 火 墙 。 就 像 建 筑 物 
防火 墙 或 护城河 能 够 保护 建筑 物 及 其 内 部 资源 安全 或 保护 城市 免 受 侵害 一 样 , 网 络 防火 墙 
能 够 防止 外 部 网 上 的 各 种 危害 侵入 到 内 部 网 络 。 

目前 ,防火 墙 已 在 Internet 上 得 到 了 广泛 的 应 用 , 且 由 于 具有 不 限于 TCP/IP 协议 的 特点 ， 
也 使 其 逐步 在 Internet 之 外 更 具 生 命 力 。 客 观 的 讲 ,防火 墙 并 不 是 解决 网 络 安全 问题 的 万 能 
药方 ,只 是 网 络 安全 政策 和 策略 中 的 一 个 组 成 部 分 。 但 了 解 防火 墙 技术 并 学 会 在 实际 操作 中 
应 用 防火 墙 技 术 , 相 信和 会 在 “网 络 经 济 ” 社 会 的 工作 和 生活 中 使 每 一 位 网 络 用 户 都 受益 菲 浅 。 


6.1.1 防火 墙 的 概念 


1. 防火墙 是 什么 


防火 墙 的 本 义 原 是 指 古代 人 们 房屋 之 间 修 建 的 一 道 墙 ,这 道 墙 可 以 防止 火灾 发 生 时 蔓 
延 到 别 的 房屋 。 而 这 里 所 说 的 网 络 防火 墙 当 然 不 是 指 物理 上 的 防火 墙 ,而 是 指 隔 离 在 本 地 


网 络 与 外 界 网 络 之 间 的 一 道 防御 系统 。 应 该 说 ,在 互联 网 上 防火 墙 是 一 种 非常 有 效 的 网 络 
安全 措施 ,通过 它 可 以 隔离 风险 区 域 (Internet 或 有 一 定 风 险 的 网 络 ) 与 安全 区 域 (企业 内 部 
网 ,也 可 称 为 可 信任 网 络 ) 的 连接 ,同时 不 会 妨碍 人 们 对 风险 区 域 的 访问 。 

网 络 防火 墙 就 是 指 在 企业 内 部 网 和 外 部 网 (Internet) 之 间 所 设立 的 执行 访问 控制 策略 
的 安全 系统 。 它 在 内 部 网 和 Internet 之 间 设置 控制 ,以 防止 发 生 不 可 预测 的 外界 对 内 部 网 
资源 的 非法 访问 或 潜在 破坏 性 的 侵入 。 它 是 目前 实现 网 络 安全 策略 的 最 有 效 的 工具 之 一 ， 
也 是 控制 外 部 用 户 访问 内 部 网 的 第 一 道 关 口 。 防 火 墙 的 设置 思想 就 是 在 内 部 、 外 部 两 个 网 
络 之 间 建 立 一 个 具有 安全 控制 机 制 的 安全 控制 点 ,通过 人 允许、 拒绝 或 重新 定向 经 过 防火 墙 的 
数据 流 , 来 实现 对 内 部 网 服务 和 访问 的 安全 审计 和 控制 。 需 要 指出 的 是 ,防火 墙 虽然 可 以 在 
一 定 程 度 上 保护 内 部 网 的 安全 ,但 内 部 网 还 应 有 其 他 的 安全 保护 措施 ,这 是 防火 墙 所 不 能 代 
蔡 的 。 

防火 墙 技术 是 建立 在 现代 通信 网络 技术 和 信息 安全 技术 基础 上 的 应 用 性 安全 技术 , 越 
来 越 多 地 被 应 用 于 专用 网 络 与 公用 网 络 的 互联 环境 中 ,尤其 以 接 入 Internet 网 络 最 普遍 。 
防火 墙 可 通过 监测 ,控制 跨越 防火 墙 的 数据 流 , 尽 可 能 地 对 外 界 屏 蔽 内 部 网 络 的 信息 、 结 构 
和 运行 状况 ,以 此 来 实现 内 部 网 络 的 安全 保护 。 

防火 墙 可 由 计算 机 硬件 和 软件 系统 组 成 。 通 常情 况 下 ,内 部 网 和 外 部 网 进行 互联 时 , 必 
须 使 用 一 个 中 间 设 备 ,这 个 设备 既 可 以 是 专门 的 互联 设备 (如 路 由 器 或 网 关 ), 也 可 以 是 网 络 
中 的 某 个 节点 (如 一 台 主机 )。 这 个 设备 至 少 具 有 两 条 物理 链 路 ,一 条 通 往外 部 网 络 , 一 条 通 
往 内 部 网 络 。 企 业 用 户 希 望 与 其 他 用 户 通信 时 ,信息 必须 经 过 该 设备 ,同样 ,其 他 用 户 希 望 
访问 企业 网 时 ,也 必须 经 过 该 设备 。 显 然 , 该 设备 是 阻挡 攻击 者 入 侵 的 关口 ,也 是 防火 墙 实 
施 的 理想 位 置 ,如 图 6. 1 所 示 。 
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图 6.1 防火 墙 的 位 置 示意 图 


防火 墙 的 作用 是 防止 不 希望 的 ,未 授权 的 通信 进出 被 保护 的 网 络 , 使 机 构 强 化 自己 的 网 
络 安全 政策 。 由 于 防火 墙 设 定 了 网 络 边界 和 服务 .因此 更 适合 于 相对 独立 的 网 络 , 如 
Intranet。 事 实 上 ,在 Internet 上 的 Web 网 站 中 ,超过 三 分 之 一 的 Web 网 站 都 是 由 某 种 形 
式 的 防火 墙 加 以 保护 的 。 
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可 以 说 ,防火 墙 能 够 限制 非法 用 户 从 一 个 被 严格 保护 的 设备 上 进入 或 离开 ,从 而 有 效 地 
阻止 对 内 部 网 的 非法 入 侵 。 但 由 于 防火 墙 只 能 对 跨越 边界 的 信息 进行 检测 、 控 制 ,而 对 网 络 
内 部 人 员 的 攻击 不 具备 防范 能 力 ,因此 单独 依靠 防火 墙 来 保护 内 部 网 络 的 安全 是 不 够 的 ,还 
必须 与 人 侵 检测 系统 (IDS)、 安 全 扫描 \ 应 急 处 理 等 其 他 安全 措施 综合 使 用 才能 达到 目的 。 


2. 防火 墙 能 做 什么 


一 般 来 说 ,防火 墙 在 配置 上 可 防止 来 自 * 外 部 ”未 经 授权 的 交互 式 登录 ,这 大 大 有 助 于 防 
止 破坏 者 登录 到 网 络 用户 的 计算 机 上 。 一 些 设计 更 为 精巧 的 防火 墙 既 可 以 防止 来 自 外 部 的 
信息 流 进入 内 部 ,又 允许 内 部 的 用 户 可 以 自由 地 与 外 部 通信 。 如 果 切 断 防火 墙 ,就 可 以 保护 
用 户 免 受 网 络 上 任何 类 型 的 攻击 。 

防火 墙 的 另 一 个 非常 重要 的 作用 是 可 以 提供 一 个 单独 的 “阻塞 点 ”, 在 “阻塞 点 "上 设置 
安全 和 审计 检查 。 防 火 墙 可 提供 一 种 重要 的 记录 和 审计 功能 : 经 常 向 管理 员 提供 一 些 情况 
概要 ,提供 有 关 通 过 防火 墙 的 数据 流 的 类 型 和 数量 ,以 及 有 多 少 次 试图 奖 入 防火 墙 的 企图 等 

利用 防火 墙 保护 内 部 网 ,主要 有 以 下 几 个 主要 功能 。 

(1) 网 络 安全 的 屏障 

防火 墙 是 信息 进出 网 络 的 必 经 之 路 , 它 可 检测 所 有 经 过 数据 的 细节 ,并 根据 事先 定义 好 
的 策略 允许 或 禁止 这 些 数据 的 通过 。 一 个 防火 墙 可 极 大 地 提高 内 部 网 络 的 安全 性 ,并 通过 
过 滤 不 安全 的 服务 而 降低 风险 。 由 于 只 有 经 过 精心 选择 的 应 用 协议 才能 通过 防火 墙 ,所 以 
使 网 络 环境 变 得 更 安全 。 这 样 外 部 的 攻击 者 就 不 可 能 利用 这 些 脆弱 的 协议 来 攻击 内 部 网 
络 。 防 火 墙 同时 可 以 保护 网 络 免 受 基于 路 由 的 攻击 。 

(2) 强化 网 络 安全 策略 

通过 以 防火 墙 为 中 心 的 安全 方案 配置 ,能 将 所 有 的 安全 功能 (如 口令 ,加密 、 身 份 认证 、 
审计 等 ) 配 置 在 防火 墙 上 。 与 将 网 络 安全 问题 分 散 到 各 个 主机 上 相 比 ,防火墙 的 集中 式 安全 
管理 更 经 济 。 例 如 ,在 网 络 访问 时 ,一 次 一 密 钥 密码 系统 和 其 他 的 身份 认证 系统 完全 可 以 不 
必 分 散在 各 个 主机 上 ,而 是 集中 在 防火 墙 上 。 

(3) 对 网 络 存 取 和 访问 进行 监控 审计 

如 果 所 有 的 访问 都 经 过 防火 墙 ,那么 ,防火 墙 就 能 记录 下 这 些 访问 并 作出 日 志 记 录 , 同 
时 也 能 提供 网 络 使 用 情况 的 统计 数据 。 当 发 生 可 疑 动 作 时 ,防火 墙 能 进行 报警 ,并 提供 网 络 
是 否 受 到 监测 和 攻击 的 详细 信息 。 另 外 ,使 用 统计 手段 对 网 络 进行 需 求 分 析 和 威胁 分 析 等 
也 是 非常 重要 的 。 

(4) 防止 内 部 信息 的 外 汇 

通过 利用 防火 墙 对 内 部 网 络 的 划分 ,可 实现 对 内 部 网 重点 网 段 的 隔离 ,从 而 限制 局 部 重 
点 或 敏感 的 网 络 安全 问题 对 全 局 网 络 造成 的 影响 。 在 内 部 网 络 中 ,不 引 人 注 意 的 细节 可 能 
包含 了 有 关 安 全 的 线索 ,而 引起 外 部 攻击 者 的 兴趣 ,甚至 因此 而 暴露 了 内 部 网 络 的 某 些 安全 
漏洞 ,使 用 防火 墙 就 可 以 隐藏 那些 内 部 细节 。 防 火 墙 可 以 同样 阻塞 有 关内 部 网 络 的 DNS 信 
息 ,这 样 ,一 台 主 机 的 域名 和 IP 地 址 就 不 会 被 外 界 所 了 解 。 

(5) 安全 策略 检查 

所 有 进出 网 络 的 信息 都 必须 通过 防火 墙 ,防火 墙 成 为 网 络 上 的 一 个 安全 检查 站 ,对 来 自 


外 部 的 网 络 进行 检测 和 报警 ,将 检查 出 来 的 可 疑 的 访问 拒 之 网 外 。 
3. 防火 墙 不 能 做 什么 


防火 墙 可 使 内 部 网 在 很 大 程度 上 免 受 攻击 ,但 认为 配置 了 防火 墙 ,所 有 的 网 络 安全 问题 
就 都 迎刃而解 的 想法 是 错误 的 ,起 码 是 不 全 面 的 。 可 以 说 许多 危险 是 防火 墙 所 无 能 为 力 的 ， 
即 防火 墙 还 存在 一 些 不 足 之 处 。 

(1) 防火 墙 不 能 防范 内 部 人 员 的 攻击 

防火 墙 只 能 提供 周边 防护 ,并 不 能 控制 内 部 用 户 对 内 部 网 络 滥用 授权 的 访问 。 内 部 用 
户 可 窃取 数据 破坏 硬件 和 软件 ,并 可 巧妙 地 修改 程序 而 不 接近 防火 墙 。 内 部 用 户 攻击 网 络 
正 是 网 络 安全 最 大 的 威胁 。 统 计 表 明 ,很 多 安全 事件 是 由 于 内 部 人 员 的 攻击 所 造成 的 ,由 内 
部 引起 的 安全 问题 约 占 总 数 的 80%。 

(2) 防火 墙 不 能 防范 绕 过 它 的 连接 

防火 墙 可 有 效 地 检查 经 由 它 进行 传输 的 信息 ,但 不 能 防止 绕 过 它 传 输 的 信息 。 比 如 ,如 
果 站 点 允许 对 防火 墙 后 面 的 内 部 系统 进行 拨号 访问 ,那么 防火 墙 就 没有 办 法 阻止 攻击 者 进 
行 的 拨号 入 侵 。 

(3) 防火 墙 不 能 防御 全 部 威胁 

防火 墙 可 防御 已 知 的 威胁 ,如 果 是 一 个 很 好 的 防火 墙 设计 方案 ,可 以 防御 新 的 威胁 ,但 
没有 一 个 防火 墙 能 够 防御 所 有 的 威胁 。 

(4) 防火 墙 不 能 防御 恶意 程序 和 病毒 

虽然 许多 防火 墙 能 扫描 所 有 通过 的 信息 ,以 决定 是 否 允 许 它们 通过 防火 墙 进入 内 部 网 
络 ,但 扫描 是 针对 源 、 目 标 地 址 和 端口 号 的 ,而 不 扫描 数据 的 确切 内 容 。 因 为 在 网 络 上 传输 
二 进 制 文件 的 编码 方式 很 多 ,并 且 有 太 多 的 不 同 结构 的 病毒 ,因此 防火 墙 不 可 能 查找 所 有 的 
病毒 ,也 就 不 能 有 效 地 防范 像 病毒 这 类 程序 的 入侵 。 如 今 恶 意 程序 发 展 迅 速 ,病毒 可 依附 于 
共享 文档 传播 ,也 可 通过 E-mail 附件 的 形式 在 Internet 上 迅速 蔓延 。Web 本 身 就 是 一 个 病 
毒 源 ,许多 站 点 都 可 以 下 载 病毒 程序 甚至 源码 。 某 些 防火 墙 可 以 根据 已 知 病毒 和 木马 的 特 
征 码 检查 数据 流 ,虽然 这 样 做 能 有 些 帮 助 但 并 不 可 靠 ,因为 类 似 的 恶意 程序 的 种 类 很 多 ,有 
多 种 手段 可 使 它们 在 数据 中 隐藏 ,防火 墙 对 那些 新 的 病毒 和 木马 程序 等 是 无 能 为 力 的 。 此 
外 ,防火 墙 只 能 发 现 从 其 他 网 络 来 的 恶意 程序 ,但 许多 病毒 却 是 通过 被 感染 的 软盘 或 系统 直 
接 进入 网 络 的 。 所 以 ,对 病毒 等 恶意 程序 十 分 敏感 的 单位 应 当 在 整个 机 构 范 围 内 采取 病毒 
控制 措施 。 


6.12 个 人 防火 墙 


现在 网 上 流行 很 多 个 人 防火 墙 软件 , 它 是 应 用 程序 级 的 。 个 人 防火 墙 是 一 种 能 够 保护 
个 人 计算 机 系统 安全 的 软件 ,是 可 以 直接 在 用 户 计算 机 操作 系统 上 运行 的 软件 服务 。 通 常 ， 
这 些 防火 墙 是 安装 在 计算 机 网 络 接口 的 较 低级 别 上 ,使 它们 可 以 监视 通过 网 卡 的 所 有 网 络 
通信 。 

一 旦 安装 上 个 人 防火 墙 ,就 可 以 把 它 设置 成 “学 习 模 式 ”, 这 样 ,对 遇 到 的 每 一 种 新 的 网 
络 通信 ,个 人 防火 墙 都 会 提示 用 户 一 次 ,询问 如 何 处 理 这 种 通信 。 然 后 ,个 人 防火 墙 便 记 住 
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了 其 响应 方式 ,并 应 用 于 以 后 遇 到 的 同 种 网 络 通信 。 例 如 ,如 果 用 户 已 经 安装 了 一 台 个 人 
Web 服务 器 ,个 人 防火 墙 可 能 对 第 一 个 传人 的 Web 连接 做 一 标记 ,并 询问 用 户 是 否 允 许 它 
通过 。 用 户 可 能 允许 所 有 的 Web 连接 ,来 自 某 些 特定 IP 地 址 范围 的 连接 等 ,个 人 防火 墙 就 
将 这 些 规 则 应 用 于 此 后 所 有 传人 的 Web 连接 。 

可 以 将 个 人 防火 墙 想 象 成 在 用 户 计算 机 上 建立 的 一 个 虚拟 网 络 接口 ,不 再 是 计算 机 操 
作 系 统 直接 通过 网 卡 进行 的 通信 ,而 是 操作 系统 与 个 人 防火 墙 的 对 话 , 仔 细 检 查 网 络 通信 ， 
然后 再 通过 网 卡通 信 。 


1. 个 人 防火 墙 的 优点 


。 增加 了 保护 功能 。 个 人 防火 墙 具 有 安全 保护 功能 , 既 可 以 抵挡 外 来 攻击 ,还 可 以 抵 
挡 内 部 的 攻击 。 例 如 ,家 庭 用 户 使 用 Modem 或 ISDN/ADSL 上 网 ,个 人 防火 墙 就 能 
够 为 用 户 隐藏 暴露 在 网 络 上 的 信息 (如 IP 地 址 ) 。 

易于 配置 。 个 人 防火 墙 产品 通常 可 以 使 用 直接 的 配置 选项 获得 基本 可 使 用 的 配置 。 
廉价 。 个 人 防火 墙 不 需要 额外 的 硬件 资源 就 为 内 部 网 的 个 人 用 户 和 公共 网 络 中 的 
单个 系统 提供 安全 保护 。 它 已 被 集成 到 Windows XP 版 本 中 ,使 用 Windows 的 其 
他 系统 或 其 他 产品 也 可 以 免费 获得 或 者 按 有 限 的 成 本 价 获得 。 


2. 个 人 防火 墙 的 缺点 


接口 通信 受 限 。 个 人 防火 墙 对 公共 网 络 只 有 一 个 物理 接口 ,而 真正 的 防火 墙 应 当 监 
视 并 控制 两 个 或 更 多 的 网 络 接口 之 间 的 通信 。 因 此 ,其 个 人 防火 墙 本 身 可 能 会 容易 
受到 威胁 ,或 者 说 是 具有 网 络 通信 可 以 绕 过 防火 墙 的 规则 这 样 的 弱点 。 

集中 管理 比较 困难 。 个 人 防火 墙 需要 在 每 个 客户 端 进行 配置 ,这 将 增加 管理 开销 。 
性 能 受 限 。 个 人 防火 墙 是 为 了 保护 单个 计算 机 系统 而 设计 的 ,但 是 如 果 安 装 它 的 计 
算 机 是 与 内 部 网 络 上 的 其 他 计算 机 共享 到 Internet 的 连接 , 则 它 也 可 以 保护 小 型 网 
络 。 个 人 防火 墙 在 充当 小 型 网 络 路 由 器 时 将 导致 性 能 下 降 。 这 种 保护 机 制 通常 不 
如 专用 防火 墙 方案 有 效 , 因 为 它们 通常 只 限于 阻止 IP 和 端口 地 址 。 


6.1.3 内 部 防火 墙 


防火 墙 主要 是 保护 内 部 网 络 资源 免 受 外 部 用 户 的 非法 访问 和 侵袭 。 为 了 保护 内 部 网 重 
要 信息 的 安全 有 时 也 需要 对 内 部 网 的 部 分 站 点 再 加 以 保护 ,以免 受 内 部 网 其 他 站 点 的 侵袭 。 
因此 ,需要 在 同一 结构 的 两 个 部 分 之 间 ,或 者 在 同一 内 部 网 的 两 个 不 同 组 织 结构 之 间 再 建立 
一 层 防火 墙 , 这 就 是 内 部 防火 墙 。 

企业 内 部 网 是 一 种 多 层次 多 节点 、 多 业务 的 网 络 ,各 节点 间 的 信任 程度 较 低 ,但 由 于 业 
务 的 需要 ,各 节点 和 服务 器 群 之 间 又 要 频繁 地 交换 数据 。 通 过 在 服务 器 群 的 入 口 处 设置 内 
部 防火 墙 ,可 有 效 地 控制 内 部 网 络 的 访问 。 企 业内 部 网 中 设置 内 部 防火 墙 后 ,一 方面 可 以 有 
效 地 防范 来 自 外 部 网 络 的 攻击 , 另 一 方面 可 以 为 内 部 网 络 制定 完善 的 安全 访问 策略 ,从 而 使 
得 整个 企业 网 络 具有 较 高 的 安全 级 别 。 

内 部 防火 墙 的 用 户 包 括 内 部 网 本 单位 的 雇员 (如 内 部 网 单位 本 部 的 用 户 、 本 单位 外 部 的 


用 户 、 本 单位 的 远程 用 户 或 在 家 中 办 公 的 用 户 ) 和 单位 的 业务 合作 伙伴 。 后 者 的 信任 级 别 比 
前 者 要 低 。 

许多 用 于 建立 外 部 防火 墙 的 工具 与 技术 也 可 用 于 建立 内 部 防火 墙 。 

内 部 防火 墙 可 以 实现 以 下 功能 : 

。 精确 地 制定 每 个 用 户 的 访问 权限 ,保证 内 部 网 络 用 户 只 能 访问 必要 的 资源 。 

。 对 于 拨号 备份 线路 的 连接 ,通过 强大 的 认证 功能 ,实现 对 远程 用 户 的 管理 。 

。 记录 网 段 间 的 访问 信息 ,及 时 发 现 误 操作 和 来 自 内 部 网 络 其 他 网 段 的 攻击 行为 。 

。 通过 安全 策略 的 集中 管理 ,每 个 网 段 上 的 主机 不 必 再 单独 设立 安全 策略 ,降低 人 为 

因素 导致 的 网 络 安全 问题 。 


62 防火 墙 技术 
621 防火 墙 的 类 型 


根据 防火 墙 的 分 类 标准 不 同 , 可 将 防火 墙 分 为 不 同 的 类 型 。 
1. 基于 防火 墙 技 术 原理 分 类 


Internet 采用 TCP/IP 协议 ,在 不 同 的 网 络 层次 上 设置 不 同 的 屏障 ,构成 不 同类 型 的 防 
火 增 。 因 此 ,从 工作 原理 角度 看 ,防火 墙 技术 主要 可 分 为 网 络 层 防火 墙 技术 和 应 用 层 防 火 墙 
技术 。 这 两 个 层次 的 防火 墙 技术 的 具体 实现 有 包 过 滤 防 火 墙 \ 代 理 服 务 器 防火 墙 、 状 态 检 测 
防火 墙 和 自 适应 代理 防火 墙 。 


2. 基于 防火 墙 硬件 环境 分 类 


根据 实现 防火 墙 的 硬件 环境 不 同 ,可 将 防火 墙 分 为 基于 路 由 器 的 防火 墙 和 基于 主机 系 
统 的 防火 墙 。 包 过 滤 防 火 墙 和 状态 检测 防火 墙 可 以 基于 路 由 器 ,也 可 基于 主机 系统 实现 ; 
而 代理 服务 器 防火 墙 只 能 基于 主机 系统 实现 。 


3. 基于 防火 墙 的 功能 分 类 


根据 防火 墙 的 功能 不 同 ,可 将 防火 墙 分 为 FTP 防火 墙 ,Telnet 防火 墙 \E-mail 防火 墙 、 
病毒 防火 墙 \ 个 人 防火 墙 等 各 种 专用 防火 墙 。 通常 也 将 几 种 防火 墙 技 术 组 合 在 一 起 使 用 以 
弥补 各 自 的 缺陷 ,增加 系统 的 安全 性 能 。 


622 包 过 滤 技 术 


二 包 过 滤 技 术 的 工作 原理 


网 络 层 防火 墙 技术 根据 网 络 层 和 传输 层 的 原则 对 传输 的 信息 进行 过 滤 。 网 络 层 技术 的 
一 个 范例 就 是 包 过 滤 (Packet Filtering) 技 术 。 因 此 ,利用 包 过 滤 技 术 在 网 络 层 实现 的 防火 
墙 也 叫 包 过 滤 防 火 墙 。 
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在 基于 TCP/IP 协议 的 网 络 上 ,所 有 往来 的 信息 都 被 分 割 成 许 许多 多 一 定 长 度 的 数据 
包 , 包 中 包含 发 送 者 的 IP 地 址 和 接收 者 的 IP 地 址 等 信息 。 当 这 些 数据 包 被 送 上 互联 网 时 ， 
路 由 器 会 读 取 接收 者 的 IP 地 址 信息 并 选择 一 条 合适 的 物理 线路 发 送 数据 包 。 数 据 包 可 能 
经 由 不 同 的 路 线 到 达 目的 地 , 当 所 有 的 包 到 达 目 的 地 后 会 重新 组 装 还 原 。 

包 过 滤 技 术 是 在 网 络 的 出 入 口 ( 如 路 由 器 ) 对 通过 的 数据 包 进 行 检查 和 选择 的 。 选 择 的 
依据 是 系统 内 设置 的 过 滤 逻 辑 ( 包 过 滤 规 则 ) ,也 称 为 访问 控制 表 (Access Control Table) 。 
通过 检查 数据 流 中 每 个 数据 包 的 源 地址 .目的 地 址 ` 所 用 的 端口 号 ,协议 状态 或 它们 的 组 合 ， 
来 确定 是 否 允 许 该 数据 包 通 过 。 通 过 检查 ,只 有 满足 条 件 的 数据 包 才 允许 通过 ,否则 被 抛弃 
(过 滤 掉 )。 如 果 防 火 墙 中 设 定 某 一 IP 地 址 的 站 点 为 不 适宜 访问 的 站 点 , 则 从 该 站 点 地 址 来 
的 所 有 信息 都 会 被 防火 墙 过 滤 掉 。 这 样 可 以 有 效 地 防止 恶意 用 户 利用 不 安全 的 服务 对 内 部 
网 进行 攻击 。 包 过 滤 防 火 墙 要 遵循 的 一 条 基本 原则 就 是 “最 小 特权 原则 ”, 即 明确 允许 管理 
员 希 望 通过 的 那些 数据 包 ,禁止 其 他 的 数据 包 。 

在 网 络 上 传输 的 每 个 数据 包 都 可 分 为 数据 和 包头 两 部 分 。 包 过 滤器 就 是 根据 包头 信息 
来 判断 该 包 是 否 符合 网 络 管理 员 设 定 的 规则 表 中 的 规则 ,以 确定 是 否 允 许 数据 包 通 过 。 包 
过 滤 规 则 一 般 是 基于 部 分 或 全 部 报头 信息 的 ,如 IP 协议 类 型 .IP 源 地 址 、IP 选择 域 的 内 容 、 
TCP 源 端 口号 ,TCP 目标 端口 号 等 。 例 如 , 包 过 滤 防 火 墙 可 以 对 来 自 特定 的 Internet 地 址 
的 信息 进行 过 滤 , 或 者 只 允许 来 自 特定 地 址 的 信息 通过 。 它 还 可 以 根据 需要 的 TCP 端口 来 
过 滤 信 息 。 如 果 将 过 滤器 设置 成 只 允许 数据 包 通 过 TCP 端口 80( 标 准 的 HTTP 端口 ), 那 
么 在 其 他 端口 ,如 端口 25( 标 准 的 SMTP 端口 ) 上 的 服务 程序 的 数据 包 均 不 得 通过 。 

包 过 滤 防 火 墙 既 可 以 允许 授权 的 服务 程序 和 主机 直接 访问 内 部 网 络 ,也 可 以 过 滤 指 定 
的 端口 和 内 部 用 户 的 Internet 地 址 信息 。 大 多 数 包 过 滤 防 火 墙 的 功能 可 以 设置 在 内 部 网 络 
与 外 部 网 络 之 间 的 路 由 器 上 ,作为 第 一 道 安全 防线 。 路 由 器 是 内 部 网 络 与 Internet 连接 必 
不 可 少 的 设备 ,因此 在 原 有 网 络 上 增加 这 样 的 防火 墙 软件 几乎 不 需要 任何 额外 的 费用 。 


2. 过 滤 路 由 器 与 普通 路 由 器 


增加 了 包 过 滤 防 火 软件 ` 具 备 了 过 滤 特 性 的 路 由 器 叫做 过 滤 路 由 器 。 

普通 路 由 器 只 简单 地 查看 每 一 数据 包 的 目的 地 址 ,并 选择 数据 包 发 往 目标 地 址 的 最 佳 
路 径 。 当 路 由 器 知道 如 何 发 送 数据 包 到 目标 地 址 时 , 则 发 送 该 包 ; 如 果 不 知 道 如 何 发 送 数 
据 包 到 目标 地 址 , 则 返还 数据 包 , 并 通知 源 地 址 “数据 包 不 能 到 达 目 标 地 址 ”。 在 对 数据 包 做 
出 路 由 决定 时 ,普通 路 由 器 只 依据 包 的 目的 地 址 引导 包 , 而 过 滤 路 由 器 将 更 严格 地 检查 数据 
包 。 除 了 决定 它 是 否 发 送 数 据 包 到 达 其 目标 外 ,过 滤 路 由 器 还 决定 数据 包 是 否 应 该 发 送 。 
“应 该 ”或 “不 应 该 "由 站 点 的 安全 策略 决定 ,并 由 过 滤 路 由 器 强制 执行 。 过 滤 路 由 器 依据 路 
由 器 中 的 包 过 滤 规 则 做 出 是 否 引 导 该 包 的 决定 。 过 滤 路 由 器 以 包 的 目标 地 址 、 包 的 源 地 址 
和 包 的 传输 协议 为 依据 ,确定 允许 或 不 允许 某 些 包 在 网 上 传输 。 


3. 包 过 滤 规 则 


包 过 滤 防 火 墙 的 过 滤 规 则 的 主要 描述 形式 有 逻辑 过 滤 规 则 表 、 文 件 过 滤 规 则 表 和 内 存 
过 滤 规 则 表 。 在 包 过 滤 系 统 中 .规则 表 是 十 分 重要 的 。 依 据 规则 表 可 检查 过 滤 模 块 、 端 口 映 
射 模块 和 地 址 欺骗 等 。 规 则 表 制 定 的 好 坏 ,直接 影响 机 构 的 安全 策略 是 否 会 被 有 效 地 体现 ; 


规则 表 设 置 的 结构 是 否 合理 ,将 影响 包 过 滤 防 火 墙 的 性 能 。 

通常 , 包 过 滤 技 术 可 允许 或 不 允许 某 些 数据 包 通 过 ,主要 是 依据 包 的 目的 地 址 、 包 的 源 
地 址 和 包 的 传输 协议 。 大 多 数 包 过 滤 系 统 判决 是 否 传输 包 时 都 不 关心 包 的 具体 内 容 ,而 是 
让 用 户 进行 如 下 操作 : 


不 允许 任何 用 户 从 外 部 网 络 用 Telnet 登录 。 
允许 任何 用 户 使 用 SMTP 往 内 部 网 发 送 电 子 邮 件 。 
只 允许 某 台 机 器 通过 NNTP( 网 络 新 闻 传输 协议 ) 往 内 部 网 络 发 送 新 闻 。 


. 包 过 滤 防 火 墙 的 特点 


(1) 包 过 滤 技 术 的 优点 


一 个 过 滤 路 由 器 能 协助 保护 整个 网 络 。 数 据 包 过 滤 的 主要 优点 之 一 就 是 一 个 恰当 
放置 的 包 过 滤 路 由 器 有 助 于 保护 整个 网 络 。 如 果 仅 有 一 个 路 由 器 连接 内 部 与 外 部 
网 络 ,不 论 内 部 网 络 的 大 小 和 内 部 拓扑 结构 如 何 , 通 过 该 路 由 器 进行 数据 包 过 滤 , 就 
可 在 网 络 安全 保护 上 取得 较 好 的 效果 。 

包 过 滤 对 用 户 透 明 。 数 据 包 过 滤 不 要 求 任何 自 定义 软件 或 客户 机 配置 ,也 不 要 求 用 
户 任何 特殊 的 训练 或 操作 。 当 包 过 滤 路 由 器 决定 让 数据 包 通 过 时 , 它 与 普通 路 由 器 
没什么 区 别 。 比 较 理想 的 情况 是 用 户 没有 感觉 到 它 的 存在 ,除非 他 们 试图 做 过 滤 规 
则 中 所 禁止 的 事 。 较 强 的 “透明 度 ” 是 包 过 滤 的 一 大 优势 。 

过 滤 路 由 器 速度 快 ,效率 高 。 过 滤 路 由 器 只 检查 报头 相应 的 字段 ,一 般 不 查看 数据 
包 的 内 容 , 而 且 某 些 核心 部 分 是 由 专用 硬件 实现 的 , 故 其 转发 速度 快 .效率 较 高 。 
技术 通用 、 廉 价 、 有 效 。 包 过 滤 技 术 不 是 针对 各 个 具体 的 网 络 服 务 采取 特殊 的 处 理 
方式 ,而 是 对 各 种 网 络 服务 都 通用 ,大 多 数 路 由 器 都 提供 包 过 滤 功 能 ,不 用 再 增加 更 
多 的 硬件 和 软件 ,因此 其 价格 低廉 ,能 很 大 程度 地 满足 企业 的 安全 要 求 , 其 应 用 行 之 
有 效 。 


此 外 , 包 过 滤 技 术 还 易于 安装 、 使 用 和 维护 。 
(2) 包 过 滤 技术 的 缺点 


安全 性 较 差 。 防 火 墙 过 滤 的 只 有 网 络 层 和 传输 层 的 有 限 信息 ,因而 各 种 安全 要 求 不 
可 能 充分 满足 ; 在 许多 过 滤器 中 ,过 滤 规 则 的 数目 有 限 , 且 随 着 规则 数目 的 增加 ,性 
能 将 受到 影响 。 过 滤 路 由 器 只 是 检测 TCP/IP 报头 ,检查 特定 的 几 个 域 ,而 不 检查 
数据 包 的 内 容 , 不 按 特定 的 应 用 协议 进行 审查 和 扫描 ,不 作 详细 分 析 和 记录 。 非 法 
访问 一 旦 突破 防火 墙 , 即 可 对 主机 上 的 软件 和 配置 漏洞 进行 攻击 。 因 而 ,与 代理 技 
术 相 比 , 包 过 滤 技 术 的 安全 性 较 差 。 

不 能 彻底 防止 地 址 欺骗 。 大 多 数 包 过 滤 路 由 器 都 是 基于 源 IP 地 址 、 目 的 IP 地 址 而 
进行 过 滤 的 。 而 IP 地 址 的 伪造 是 很 容易 、 很 普遍 的 。 如 果 攻 击 者 将 自己 主机 的 IP 
地 址 设置 成 一 个 合法 主机 的 IP 地 址 ,就 可 以 轻易 地 通过 路 由 器 。 因 此 ,过 滤 路 由 器 
在 IP 地 址 欺骗 上 大 都 无 能 为 力 , 即 使 按 MAC 地 址 进行 绑 定 ,也 是 不 可 信 的 。 因 此 
对 于 一 些 安全 性 要 求 较 高 的 网 络 ,过 滤 路 由 器 是 不 能 胜任 的 。 

一 些 应 用 协议 不 适合 于 数据 包 过 滤 。 即 使 是 完美 的 数据 包 过 滤 实 现 ,也 会 发 现 一 些 
协议 不 太 适 合 于 数据 包 过 滤 安 全 保护 ,如 RPC、X-Window 和 FTP。 
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”无 法 执行 某 些 安全 策略 。 包 过 滤 路 由 器 上 的 信息 不 能 完全 满足 人 们 对 安全 策略 的 
需求 。 例 如 ,数据 包 表 明 它 们 来 自 什么 主机 ,而 不 是 什么 用 户 , 因 此 ,我 们 不 能 强行 
限制 特殊 的 用 户 。 同 样 ,数据 包 表 明 它 到 什么 端口 ,而 不 是 到 什么 应 用 程序 。 当 我 
们 通过 端口 号 对 高 级 协议 强行 限制 时 ,不 希望 在 端口 上 有 指定 协议 之 外 别 的 协议 ， 
恶意 的 知情 者 能 够 很 容易 地 破坏 这 种 控制 。 
从 以 上 分 析 可 以 看 出 , 包 过 滤 技 术 虽 然 能 确保 一 定 的 安全 保护 , 且 也 有 许多 优点 ,但 是 
它 毕竟 是 早期 的 防火 墙 技术 ,本身 存在 较 多 缺陷 ,不 能 提供 较 高 的 安全 性 。 在 实际 应 用 中 ， 
很 少 把 这 种 技术 作为 单独 的 安全 解决 方案 ,而 是 把 它 与 其 他 防火 墙 技术 组 合 在 一 起 使 用 。 


623 代理 服务 技术 


1. 代理 服务 技术 的 工作 原理 


代理 服务 器 防火 墙 工作 在 OSI 模型 的 应 用 层 , 它 掌握 着 应 用 系统 中 可 用 做 安全 决策 的 
全 部 信息 ,因此 ,代理 服务 器 防火 墙 又 称 应 用 层 网 关 。 这 种 防火 墙 通过 一 种 代理 (Proxy) 技 
术 参 与 到 一 个 TCP 连接 的 全 过 程 。 从 内 部 网 用 户 发 出 的 数据 包 经 过 这 样 的 防火 墙 处 理 后 ， 
就 好 像 是 源 于 防火 墙 外 部 网 卡 一 样 , 从 而 可 以 达到 隐藏 内 部 网 结构 的 作用 。 代 理 服务 技术 
通过 在 主机 上 运行 代理 的 服务 程序 ,直接 对 特定 的 应 用 层 进行 服务 ,因此 也 称 为 应 用 型 防火 
墙 ,其 核心 是 运行 于 防火 墙 主机 上 的 代理 服务 器 进程 。 

代理 服务 器 是 指 代表 客户 处 理 在 服务 器 连接 请 求 的 程序 。 当 代理 服务 器 得 到 一 个 客户 
的 连接 意图 时 ,对 客户 的 请 求 进行 核实 ,并 经 过 特定 的 安全 化 Proxy 应 用 程序 处 理 连接 请 
求 , 将 处 理 后 的 请 求 传 递 到 真正 的 Internet 服务 器 上 ,然后 接受 服务 器 应 答 。 代 理 服务 器 对 
真正 服务 器 的 应 答 做 进一步 处 理 后 ,将 答复 交 给 发 出 请 求 的 最 终 客 户 。 代 理 服务 器 通常 运 
行 在 两 个 网 络 之 间 , 它 对 于 客户 来 说 像 是 一 台 真 的 服务 器 ,而 对 于 外 部 网 的 服务 器 来 说 , 它 
又 似 一 台 客 户 机 。 代 理 服务 器 并 非 将 用 户 的 全 部 网 络 请 求 都 提交 给 Internet 上 的 真正 服务 
器 ,而 是 先 依据 安全 规则 和 用 户 的 请 求 做 出 判断 ,是 否 代理 执行 该 请 求 , 有 的 请 求 可 能 被 否 
决 。 当 用 户 提供 了 正确 的 用 户 身份 及 认证 信息 后 ,代理 服务 器 建立 与 外 部 Internet 服务 器 
的 连接 ,为 两 个 通信 点 充当 中 继 。 内 部 网 络 只 接收 代理 服务 器 提出 的 要 求 ,拒绝 外 部 网 络 的 
直接 请 求 。 代 理 服务 器 工作 原理 示意 图 如 图 6. 2 所 示 。 


代理 服务 器 


Internet 


客户 _ 感 觉 的 连接 
二 实际 的 连接 真正 的 服务 器 


一 内 部 网 络 


6.2 代理 服务 器 的 工作 示意 图 


一 个 代理 服务 器 本 质 上 就 是 一 个 应 用 层 网 关 , 即 一 个 为 特定 网 络 应 用 而 连接 两 个 网 络 
的 网 关 。 代 理 服务 器 像 一 堵 墙 一 样 挡 在 内 部 用 户 和 外 界 之 间 ,分 别 与 内 部 和 外 部 系统 连接 ， 


是 内 部 网 与 外 部 网 的 隔离 点 ,起 着 监视 和 隔绝 应 用 层 通 信 流 的 作用 。 从 外 部 只 能 看 到 该 代 
理 服务 器 而 无 法 获知 任何 的 内 部 资源 ,诸如 用 户 的 IP 地 址 等 。 

代理 服务 技术 能 够 记录 通过 它 的 一 些 信息 ,如 什么 用 户 在 什么 时 间 访 问 过 什么 站 点 等 。 
这 些 信 息 可 以 帮助 网 络 管理 员 识别 网 络 间 谍 。 代 理 服务 器 通常 都 拥有 一 个 高 速 Cache, 该 
Cache 存储 用 户 频繁 访问 的 站 点 内 容 ( 页 面 ) ,在 下 一 个 用 户 要 访问 该 站 点 的 这 些 内 容 时 , 代 
理 服务 器 就 不 用 连接 到 Internet 上 的 服务 器 重复 地 获取 相同 的 内 容 , 而 是 直接 将 本 身 
Cache 中 的 内 容 发 出 即 可 ,从 而 节约 了 访问 的 响应 时 间 和 网 络 资源 。 

许多 代理 服务 器 防火 墙 除了 提供 代理 请 求 服务 外 ,还 提供 网 络 层 的 信息 过 滤 功 能 。 它 
们 也 对 过 往 的 数据 包 进 行 分 析 和 注册 登记 ,形成 报告 ,同时 当 发 现 被 攻击 迹象 时 会 向 网 络 管 
理 员 发 出 警报 ,并 保留 攻击 痕迹 。 

代理 服务 可 以 实现 用 户 认 证 、 详 细 日 志 、 审 计 跟 踪 和 数据 加 密 等 功能 ,并 实现 对 具体 协 
议 及 应 用 的 过 滤 , 如 阻塞 Java 或 JavaScript。 代 理 服务 技术 能 完全 控制 网 络 信息 的 交换 , 控 
制 会 话 过 程 , 具 有 灵活 性 和 安全 性 ,但 可 能 影响 网 络 的 性 能 ,对 用 户 不 透明 , 且 对 每 一 种 服务 
器 都 要 设计 一 个 代理 模块 ,建立 对 应 的 网 关 层 ,实现 起 来 比较 复杂 


2. 代理 服务 器 的 实现 


代理 服务 技术 控制 对 应 用 程序 的 访问 , 它 能 够 代 蔡 网 络 用 户 完成 特定 的 TCP/IP 功能 。 
代理 服务 器 适用 于 特定 的 互联 网 服务 ,对 每 种 不 同 的 服务 都 应 用 一 个 相应 的 代理 ,如 代理 
HTTP.FTP.E-mail,Telnet .WWW .DNS.POP3.\IRC 等 。 

代理 服务 器 的 实现 方式 有 以 下 几 种 。 

(1) 应 用 代理 服务 器 

应 用 代理 服务 器 可 以 在 网 络 应 用 层 提 供 授权 检查 及 代理 服务 功能 。 当 外 部 某 台 主 机 试 
图 访问 受 保护 的 内 部 网 时 , 它 必 须 先 在 防火 墙 上 经 过 身份 认证 。 通 过 身份 认证 后 ,防火 墙 运 
行 一 个 专门 程序 ,把 外 部 主机 与 内 部 主机 连接 。 在 这 个 过 程 中 ,防火 墙 可 以 限制 用 户 访问 的 
主机 、 访 问 时 间 及 访问 方式 。 同 样 , 受 保护 的 内 部 网 络 用 户 访问 外 部 网 时 也 需 先 登录 到 防火 
墙 上 ,通过 验证 后 才 可 使 用 Telnet 或 FTP 等 有 效 命 令 gel 点 是 既 可 以 
隐藏 内 部 IP 地 址 ,也 可 以 给 单个 用 户 授权 。 即使 攻击 者 盗用 了 一 合法 的 IP 地址 ,他 也 要 
通过 严格 的 身份 认证 。 但 是 这 种 认证 使 得 应 用 网 关 不 透明 ， pie 盘问 ”， 
这 会 给 用 户 带 来 许多 不 便 。 而 且 这 种 代理 技术 需要 为 每 个 应 用 网 关 编 写 专门 的 程序 。 

(2) 回路 级 代理 服务 器 

回路 级 代理 服务 器 也 称 一 般 代理 服务 器 , 它 适用 于 多 个 协议 ,但 不 解释 应 用 协议 中 的 命 
令 就 建立 了 连接 回路 。 回 路 级 代理 服务 器 通常 要 求 使 用 修改 过 的 用 户 程 序 。 套 接 字 服务 器 
(Sockets Server) 就 是 回路 级 代理 服务 器 。 套 接 字 (Sockets) 是 一 种 网 络 应 用 层 的 国际 标 

准 。 当 受 保护 的 网 络 客户 机 需要 与 外 部 网 交互 信息 时 ,在 防火 墙 上 的 套 接 字 服 务 器 检查 客 

户 的 UserID IP 源 地 址 和 IP 目的 地 址 ,经 过 确认 后 , 套 接 字 服务 器 才 与 外 部 服务 器 建立 连 
接 。 对 用 户 来 说 , 受 保护 的 内 部 网 与 外 部 网 的 信息 交换 是 透明 的 ,感觉 不 到 防火 墙 的 存在 ， 
那 是 因为 因特网 用 户 不 需要 登录 到 防火 墙 上 。 

回路 级 代理 服务 器 可 为 各 种 不 同 的 协议 提供 服务 。 大 多 数 回路 级 代理 服务 器 也 是 公共 
服务 器 ,它们 几乎 支持 任何 协议 ,但 不 是 每 个 协议 都 能 由 回路 级 代理 服务 器 轻易 实现 。 
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(3) 智能 代理 服务 器 

如 果 一 个 代理 服务 器 不 仅 能 处 理 转发 请 求 , 同 时 还 能 够 做 其 他 许多 事情 ,这 种 代理 服务 
器 称 为 智能 代理 服务 器 。 智 能 代理 服务 器 可 提供 比 其 他 方式 更 好 的 日 志和 访问 控制 功能 。 
一 个 专用 的 应 用 代理 服务 器 很 容易 升级 到 智能 代理 服务 器 ,而 回路 级 代理 服务 器 则 较 困 难 。 

(4) 邮件 转发 服务 器 

当 防 火 墙 采用 相应 技术 使 得 外 部 网 络 只 知道 防火 墙 的 IP 地 址 和 域名 时 ,从 外 部 网 络 发 
来 的 邮件 就 只 能 送 到 防火 墙 上 。 这 时 防火 墙 对 邮件 进行 检查 ,只 有 当 发 送 邮件 的 源 主机 是 
被 允许 通过 的 ,防火 墙 才 对 邮件 的 目的 地 址 进行 转换 , 送 到 内 部 的 邮件 服务 器 ,由 其 进行 

3. 代理 服务 器 防火 墙 的 特点 


(1) 代理 服务 技术 的 优点 

。 安全 性 好 。 由 于 每 一 个 内 、 外 网 络 之 间 的 连接 都 要 通过 代理 服务 技术 的 介入 和 转 
换 , 通 过 专门 为 特定 的 服务 (如 http) 编 写 的 安全 化 应 用 程序 进行 处 理 ,然后 由 防火 
墙 本 身分 别 向 外 部 服务 器 提交 请 求 和 向 内 部 用 户 发 回应 答 ,没有 给 内 、 外 网 络 的 计 
算 机 以 任何 直接 会 话 的 机 会 ,从 而 避免 了 入 侵 者 使 用 数据 驱动 类 型 的 攻击 方式 人 侵 
内 部 网 。 另 外 ,代理 服务 技术 还 按 特 定 的 应 用 协议 对 数据 包 内 容 进 行 审查 和 扫描 ， 
因此 也 增加 了 防火 墙 的 安全 性 。 安 全 性 好 是 代理 服务 技术 突出 的 优点 。 

。 易于 配置 。 代 理 服务 因为 是 一 个 软件 ,所 以 它 较 过 滤 路 由 器 更 易 配 置 ,配置 界面 十 
分 友好 。 如 果 代 理 服务 实现 得 好 ,可 以 对 配置 协议 要 求 较 低 , 从 而 避免 了 配置 错误 。 

。 能 生成 各 项 记录 。 代 理 服务 技术 工作 在 应 用 层 ,可 检查 各 项 数据 ,所 以 可 以 按 一 定 
准则 ,让 代理 生成 各 项 日 志和 记录 。 这 些 日 志和 记录 对 于 流量 分 析 、 安 全 检验 是 十 
分 重要 的 。 

。 能 灵活 、 完 全 地 控制 进出 的 流量 和 内 容 。 通 过 采取 一 定 的 措施 ,按照 一 定 的 规则 , 借 
助 于 代理 技术 实现 一 整套 的 安全 策略 ,比如 说 控制 * 谁 "和 “做 什么 ”, 在 什么 “时 间 ” 
和 “地 点 ”控制 等 。 

。 能 过 滤 数 据 内容 。 可 以 把 一 些 过 滤 规 则 应 用 于 代理 ,让 它 在 高 层 实现 过 滤 功 能 , 例 
如 文本 过 滤 、 图 像 过 滤 、 预 防 病毒 或 扫描 病毒 等 。 

。 能 为 用 户 提供 透明 的 加 密 机 制 。 用 户 通 过 代理 服务 收发 数据 ,可 以 让 代理 服务 完成 
加 /解密 功能 ,从 而 方便 用 户 ,确保 数据 的 保密 性 。 这 点 在 虚拟 专用 网 (VPN) 中 特别 
重要 。 代 理 服 务 可 以 广泛 地 用 于 企业 内 部 网 中 ,提供 较 高 安全 性 的 数据 通信 。 

。 可 以 方便 地 与 其 他 安全 技术 集成 。 目 前 的 安全 问题 解决 方案 很 多 , 如 验证 
(Authentication) 授权 (Authorization)、 账 号 (Accounting) ,数据 加 密 、 安 全 协议 
(SSL) 等 。 如 果 把 代理 与 这 些 技 术 联 合 使 用 ,将 大 大 增加 网 络 的 安全 性 。 

(2) 代理 服务 技术 的 缺点 

。 速度 较 慢 。 代 理 服 务 技术 工作 于 应 用 层 , 要 检查 数据 包 的 内 容 , 按 特定 的 应 用 协议 
(如 HTTP) 进 行 审 查 、 扫 描 数 据 包 内 容 , 并 进行 代理 服务 , 故 其 速度 较 慢 。 

。 对 用 户 不 透明 。 许 多 代理 要 求 客户 端 作 相应 改动 或 安装 定制 客户 端 软件 ,这 给 用 户 
增加 了 不 透明 度 。 


。 对 于 不 同 的 服务 代理 可 能 要 求 不 同 的 服务 器 。 可 能 需要 为 每 项 协议 设置 一 个 不 同 
的 代理 服务 器 ,因为 代理 服务 器 不 得 不 理解 协议 以 便 判断 什么 是 允许 的 和 不 允许 
的 ,并 且 还 要 装扮 成 一 个 对 真实 服务 器 来 说 它 就 是 客户 、 对 客户 来 说 它 就 是 服务 器 
的 角色 。 选 择 、 安 装 和 配置 所 有 这 些 不 同 的 服务 器 是 一 项 较 繁 重 的 工作 。 

通常 要 求 对 客户 或 过 程 进行 限制 。 除 了 一 些 为 代理 而 设置 的 服务 ,代理 服务 器 要 求 
对 客户 或 过 程 进行 限制 ,每 一 种 限制 都 有 不 足 之 处 ,人 们 无 法 经 常 按 他 们 自己 的 步 
又 使 用 快捷 可 用 的 方式 。 由 于 这 些 限 制 , 代 理应 用 就 不 能 像 非 代 理应 用 运行 得 那样 
好 ,它们 往往 可 能 曲解 协议 的 说 明 。 

代理 不 能 改进 底层 协议 的 安全 性 。 因 为 代理 工作 于 TCP/IP 的 应 用 层 , 所 以 它 不 能 
改善 底层 通信 协议 的 能 力 。 如 IP 欺骗 .SYN 泛滥 、 伪 造 ICMP 消息 和 一 些 拒绝 服 
务 的 攻击 。 


624 状态 检测 技术 


1. 状态 检测 技术 的 工作 原理 


状态 检测 (Stateful Inspection) 技 术 由 Check Point 率先 提出 ,又 称 动态 包 过 滤 技 术 。 
状态 检测 技术 是 新 一 代 的 防火 墙 技术 。 这 种 技术 具有 非常 好 的 安全 特性 , 它 使 用 了 一 个 在 
网 关上 执行 网 络 安全 策略 的 软件 模块 , 称 为 检测 引擎 。 检 测 引擎 在 不 影响 网 络 正 常 运行 的 
前 提 下 ,采用 抽取 有 关 数 据 的 方法 对 网 络 通信 的 各 层 实施 检测 。 它 将 抽取 的 状态 信息 动态 
地 保存 起 来 作为 以 后 执行 安全 策略 的 参考 。 检 测 引 擎 维护 一 个 动态 的 状态 信息 表 并 对 后 续 
的 数据 包 进 行 检查 。 一 旦 发 现任 何 连接 的 参数 有 意外 变化 ,该 连接 就 被 中 止 。 

状态 检测 技术 监视 和 跟踪 每 一 个 有 效 连接 的 状态 ,并 根据 这 些 信息 决定 网 络 数据 包 是 
和 否 能 通过 防火 墙 。 它 在 协议 栈 底层 截取 数据 包 , 然 后 分 析 这 些 数 据 包 , 并 且 将 当前 数据 包 和 
状态 信息 与 前 一 时 刻 的 数据 包 和 状态 信息 进行 比较 ,从 而 得 到 该 数据 包 的 控制 信息 ,来 达到 
保护 网 络 安全 的 目的 。 

检测 引擎 支持 多 种 协议 和 应 用 程序 ,并 可 以 很 容易 地 实现 应 用 和 服务 的 扩充 。 与 前 两 
种 防火 墙 不 同 , 当 用 户 访 问 请 求 到 达 网 关 的 操作 系统 前 ,状态 监视 器 要 收集 有 关 数 据 进 行 分 
析 ,结合 网 络 配置 和 安全 规定 做 出 接纳 或 拒绝 .身份 认证 、 报 警 处 理 等 动作 。 一 旦 某 个 访问 
违反 了 安全 规定 ,该 访问 就 会 被 拒绝 ,并 报告 有 关 状 态 , 作 日 志 记 录 。 

状态 检测 技术 试图 跟踪 通过 防火 墙 的 网 络 连接 和 包 , 这 样 它 就 可 以 使 用 一 组 附加 的 标 
准 , 以 确定 是 否 允 许 和 拒绝 通信 。 状 态 检 测 防火 墙 是 在 使 用 了 基本 包 过 滤 防 火 墙 的 通信 上 
应 用 一 些 技 术 来 做 到 这 一 点 的 。 为 了 跟踪 包 的 状态 ,状态 检测 防火 墙 不 仅 跟踪 包 中 包含 的 
信息 ,还 记录 有 用 的 信息 以 帮助 识别 包 。 

状态 检测 技术 可 检测 无 连接 状态 的 远程 过 程 调用 (RPC) 和 用 户 数据 报 (UDP) 之 类 的 
端口 信息 ,而 包 过 滤 和 代理 服务 技术 都 不 支持 此 类 应 用 。 状 态 检测 防火 墙 无 疑 是 非常 坚固 
的 ,但 它 会 降低 网 络 的 速度 ,上 且 配置 也 比较 复杂 。 好 在 有 关 防 火 墙 厂商 已 注意 到 这 一 问题 ， 
如 Check Point 公司 的 防火 墙 产 品 Firewall-1, 所 有 的 安全 策略 规则 都 是 通过 面向 对 象 的 图 
形 用 户 界面 (GUD 定 义 的 ,因此 可 以 简化 配置 过 程 。 
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2. 通过 状态 检测 防火 墙 的 数据 包 类 型 


状态 检测 防火 墙 在 跟踪 连接 状态 方式 下 通过 数据 包 的 类 型 有 TCP 包 和 UDP 包 。 

。 TCP 包 。 当 建立 起 一 个 TCP 连接 时 ,通过 的 第 一 个 包 被 标 有 包 的 SYN 标志 。 通 
常 ,防火 墙 丢 弃 所 有 外 部 的 连接 企图 ,除非 已 经 建立 起 某 条 特定 规则 来 处 理 它们 。 
对 内 部 到 外 部 主机 的 连接 ,防火 墙 注 明 连接 包 ,允许 响应 两 个 系统 之 间 的 包 , 直 到 连 
接 结束 为 止 。 在 这 种 方式 下 ,传人 的 包 只 有 在 它 响 应 一 个 已 建立 的 连接 时 , 才 会 被 
允许 通过 。 

UDP 包 。UDP 包 比 TCP 包 简 单 ,因为 它们 不 包含 任何 连接 或 序列 信息 ,只 包含 源 
地 址 .目的 地 址 、 校 验 和 携带 的 数据 。 这 些 简单 的 信息 使 得 防火 墙 很 难 确定 包 的 合 
法 性 ,因为 没有 打开 的 连接 可 利用 ,以 测试 传人 的 包 是 否 应 被 允许 通过 。 但 如 果 防 
火 墙 跟 踪 包 的 状态 ,就 可 以 确定 。 对 传人 的 包 , 若 它 所 使 用 的 地 址 和 UDP 包 携带 的 
协议 与 传 出 的 连接 请 求 匹 配 ,该 包 就 被 允许 通过 。 


3. 状态 检测 技术 的 特点 和 应 用 


状态 检测 技术 结合 了 包 过 滤 技 术 和 代理 服务 技术 的 特点 。 与 包 过 滤 技 术 一 样 的 是 它 对 
用 户 透明 ,能 够 在 OSI 网 络 层 上 通过 IP 地 址 和 端口 号 过 滤 进 出 的 数据 包 ; 与 代理 服务 技术 
一 样 的 是 可 以 在 OSI 应 用 层 上 检查 数据 包 内 容 , 查 看 这 些 内 容 是 否 能 符合 安全 规则 。 

状态 检测 技术 克服 了 包 过 滤 技 术 和 代理 服务 技术 的 局 限 性 ,能 根据 协议 、 端 口 及 源 地 
址 \ 目 的 地 址 的 具体 情况 决定 数据 包 是 否 通 过 。 对 于 每 个 安全 策略 允许 的 请 求 ,状态 检测 技 
术 启 动 相应 的 进程 ,可 快速 地 确认 符合 授权 标准 的 数据 包 , 使 得 运行 速度 加 快 。 

状态 检测 技术 的 缺点 是 状态 检测 可 能 造成 网 络 连接 的 某 种 迟滞 ,不 过 硬件 运行 速度 越 
快 ,这 个 问题 就 越 不 易 察 觉 

状态 检测 防火 墙 已 经 在 国内 外 得 到 广泛 应 用 ,目前 在 市 场 上 流行 的 防火 墙 大 多 属于 状 
态 检测 防火 墙 , 因 为 该 防火 墙 对 于 用 户 透 明 ,在 OSI 最 高 层 上 加 密 数 据 , 不 需要 再 去 修改 客 
户 端 程序 ,也 不 需 对 每 个 需要 在 防火 墙 上 运行 的 服务 额外 增加 一 个 代理 。 


625 自 适 应 代理 技术 


新 近 推 出 的 自 适应 代理 (Adaptive Proxy) 防 火 墙 技术 ,本 质 上 也 属于 代理 服务 技术 ,但 

也 结合 了 动态 包 过 滤 ( 状 态 检 测 ) 技 术 。 

自 适应 代理 技术 是 最 近 在 商业 应 用 防火 墙 中 实现 的 一 种 革命 性 的 技术 。 组 成 这 类 防火 
墙 的 基本 要 素 有 两 个 , 即 自 适应 代理 服务 器 与 动态 包 过 滤器 。 它 结合 了 代理 服务 防火 墙 的 
安全 性 和 包 过 滤 防 火 墙 的 高 速度 等 优点 ,在 保证 安全 性 的 基础 上 将 代理 服务 器 防火 墙 的 性 
能 提高 十 倍 以 上 。 

在 自 适应 代理 与 动态 包 过 滤器 之 间 存 在 一 个 控制 通道 。 在 对 防火 墙 进行 配置 时 ,用 户 
仅仅 将 所 需要 的 服务 类 型 .安全 级 别 等 信息 通过 相应 代理 的 管理 界面 进行 设置 就 可 以 了 。 
然后 , 自 适应 代理 就 可 以 根据 用 户 的 配置 信息 ,决定 是 使 用 代理 服务 器 从 应 用 层 代 理 请 求 ， 
还 是 使 用 动态 包 过 滤器 从 网 络 层 转发 包 。 如 果 是 后 者 , 它 将 动态 地 通知 包 过 滤器 增 减 过 滤 


规则 ,满足 用 户 对 速度 和 安全 性 的 双重 要 求 。 
63 防火 墙 的 体系 结构 


一 般 来 说 ,构成 防火 墙 的 体系 结构 有 4 种 : 过 滤 路 由 器 结构 . 双 穴 主机 结构 .主机 过 滤 
结构 和 子 网 过 滤 结 构 。 以 下 介绍 基于 这 4 种 体系 结构 构建 的 防火 墙 应 用 系统 。 


63.1 过 滤 路 由 器 结构 


过 滤 路 由 器 结构 是 最 简单 的 防火 墙 结构 ,这 种 防火 墙 可 以 由 厂家 专门 生产 的 过 滤 路 由 
器 来 实现 ,也 可 以 由 安装 了 具有 过 滤 功 能 软件 的 普通 路 由 器 实现 ,如 图 6. 3 所 示 。 过 滤 路 由 
器 防火 墙 作 为 内 外 连接 的 唯一 通道 ,要求 所 有 的 报 文 都 必须 在 此 通过 检查 。 路 由 器 上 可 以 
安装 基于 IP 层 的 报 文 过 滤 软 件 ,实现 报 文 过 滤 功 能 。 许 多 路 由 器 本 身 带 有 报 文 过 滤 配 置 选 
项 ,但 一 般 比 较 简 单 。 过 滤 路 由 器 的 缺点 是 一 旦 被 攻击 并 隐藏 后 很 难 被 发 现 ,而 且 不 能 识别 
不 同 的 用 户 。 


632 双 穴 主机 结构 


双 穴 (Dual Homed) 主 机 防火 墙 是 围绕 着 具有 双 穴 结构 的 主 计算 机 而 构建 的 ,如 图 6. 4 
所 示 。 双 穴 主 机 具有 两 个 或 两 个 以 上 接口 ,在 防火 墙 里 它 相 当 于 一 个 网 关 。 双 穴 主 机 网 关 
是 用 一 台 装 有 两 块 网 卡 的 堡垒 主机 做 防火 墙 。 双 穴 主机 的 两 块 网 卡 分 别 与 受 保护 的 内 部 子 
网 和 Internet 网 络 连接 ,起 着 监视 和 隔离 应 用 层 信息 流 的 作用 ,彻底 隔离 了 所 有 的 内 部 主机 
与 外 部 主机 的 可 能 连接 。 


Ce Ce 
广 


[ 防 X 墙 |] | | 防火墙 个 | 
| 路 由 器 ! | 四 双 穴 主机 | 
1 | | ! 
和 S| RE EE Ee el | 
内 部 网 络 内 部 网 络 
客户 机 客户 机 ”客户 机 ”服务 器 客户 机 客户 机 ”客户 机 ”服务 器 
图 6.3 包 过 滤 结构 防火 墙 图 6.4 双 穴 主机 结构 防火 墙 


堡垒 主机 上 运行 着 防火 墙 软件 ,可 以 转发 应 用 程序 和 提供 服务 。 与 过 滤 路 由 器 相 比 , 作 
为 堡垒 主机 的 系统 软件 可 用 于 维护 系统 日 志 、 硬 件 拷 贝 日 志 或 远程 日 志 。 但 弱点 也 比较 突 
出 ,一 旦 黑客 侵入 堡垒 主机 并 使 其 只 具有 路 由 功能 ,任何 网 上 用 户 均 可 以 随便 访问 内 部 网 。 

双 穴 主机 可 与 内 部 网 系统 通信 ,也 可 与 外 部 网 系统 通信 。 借 助 于 双 穴 主机 ,防火 墙 内 、 
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外 两 网 的 计算 机 便 可 (间接 ) 通 信 了 。 内 、 外 网 的 主机 不 能 直接 交换 信息 ,信息 交换 要 由 该 双 
穴 主 机 “代理 ”并 “服务 ”, 因 此 该 主机 也 相当 于 代理 服务 器 。 因 而 ,内 部 子 网 十 分 安全 。 内 部 
主机 通过 双 穴 主机 防火 墙 (代理 服务 器 ) 得 到 Internet 服务 ,并 由 该 主机 集中 进行 安全 检查 
和 日 志 记 录 。 双 穴 主机 防火 墙 工作 在 OSI 的 最 高 层 , 它 掌握 着 应 用 系统 中 可 用 做 安全 决策 
的 全 部 信息 。 


633 主机 过 滤 结 构 


双 穴 主机 防火 墙 是 由 一 台 同 时 连接 内 、 外 部 网 络 的 双 穴 主机 提供 安全 保障 的 。 而 主机 
过 滤 防 火 墙 则 与 之 不 同 , 它 是 由 一 台 过 滤 路 由 器 与 外 部 网 络 相连 ,再 通过 一 个 可 提供 安全 保 
护 的 堡 驹 主机 与 内 部 网 络 连 接 。 通 常 在 路 由 器 上 设立 
过 滤 规 则 ,并 使 这 个 堡垒 主机 成 为 从 外 部 网 络 唯一 可 
直接 到 达 的 主机 ,这 确保 了 内 部 网 络 不 受 未 被 授权 的 -“---------j]------- 
外 部 用 户 的 攻击 。 了 全 

来 自 外 部 网 络 的 数据 包 先 经 过 包 过 滤 路 由 器 过 
滤 , 不 符合 过 滤 规 则 的 数据 包 被 过 滤 掉 ,符合 规则 的 数 
据 包 则 被 传送 到 堡垒 主机 上 。 堡 又 主机 上 的 代理 服务 
器 软件 将 允许 通过 的 信息 传输 到 受 保护 的 内 部 网 络 
上 ,如 图 6. 5 所 示 。 主 机 过 滤 防 火 墙 结构 中 的 堡 公主 
机 是 Internet 主机 连接 内 部 网 系统 的 桥梁 。 任 何 外 部 
系统 要 访问 内 部 网 系统 或 服务 ,都 必须 连接 到 该 主机 图 6.5 主机 过 滤 结 构 防火 墙 
上 ,因此 该 主机 要 求 的 级 别 较 高 。 


由 器 


内 部 网 络 


主机 ! 客户 机 ”客户 机 ”服务 器 


i 


634 子 网 过 滤 结 构 


子 网 过 滤 结 构 是 在 主机 过 滤 结 构 中 又 增加 一 个 额外 的 安全 层次 而 构成 的 。 在 内 部 网 络 
和 外 部 网 络 之 间 建 立 一 个 被 隔离 的 子 网 ,用 两 台 过 滤 路 由 器 将 这 一 子 网 分 别 与 内 部 网 和 外 
部 网 分 开 。 增 加 的 安全 层次 包括 一 台 堡 人 又 主机 和 一 台 路 由 器 。 两 路 由 器 之 间 是 一 个 被 称 为 
周边 网 络 的 安全 子 网 ,也 叫 DMZ(DeMilitarized Zone 隔离 区 , 非 军事 区 ) 。 这 就 使 得 内 部 网 
和 外 部 网 之 间 有 了 两 层 隔 断 。 这 种 结构 就 是 使 用 两 个 过 滤 路 由 器 和 一 个 周边 网 络 形成 了 一 
个 复杂 的 防火 墙 ,以 进行 安全 控制 。 这 是 一 种 比较 复杂 的 结构 , 它 提 供 了 比较 完善 的 网 络 安 
全 保障 和 较 灵 活 的 应 用 方式 。 

DMZ 中 的 保全 主机 通过 内 部 、 外 部 两 个 路 由 器 与 内 部 .外 部 网 络 隔 开 ,这 样 可 减少 保全 
主机 被 侵袭 的 影响 。 被 保护 的 内 部 子 网 的 主机 置 于 内 部 包 过 滤 路 由 器 内 ,堡垒 主机 被 置 于 
内 部 和 外 部 包 过 滤 路 由 器 之 间 。 子 网 过 滤 体 系 结构 的 最 简单 形式 为 两 个 过 滤 路 由 器 ,每 一 
个 都 连接 到 DMZ 上 ,一 个 位 于 DMZ 与 内 部 网 之 间 , 另 一 个 位 于 DMZ 与 外 部 网 之 间 , 如 
图 6.6 所 示 。DMZ 是 在 内 部 和 外 部 两 网 络 之 间 另 加 的 一 层 安全 保护 层 , 它 相 当 于 一 个 应 用 
网 关 , 堡 合 主 机 上 运行 代理 服务 器 软件 。 同 时 ,企业 的 对 外 信息 服务 器 (如 WWW、FTP 服 
务 器 等 ) 也 可 设置 在 DMZ 内 。 


周边 网 DMZ 


内 部 网 络 


客户 机 客户 机 客户 机 ”客户 机 ”服务 器 
图 6.6 子 网 过 滤 结 构 防火 墙 


如 果 入 侵 者 成 功 地 闯 过 外 层 保护 网 到 达 防 火 墙 ,DMZ 就 能 在 入 侵 者 与 内 部 网 之 间 再 提 
供 一 层 保护 。 如 果 入 侵 者 仅仅 侵入 到 DMZ 的 堡垒 主机 ,他 只 能 偷 看 到 DMZ 的 信息 流 而 看 
不 到 内 部 网 的 信息 。DMZ 的 信息 流 仅 往 来 于 外 部 网 和 煲 垒 主机 之 间 。 而 内 部 网 主机 间 的 
信息 流 不 能 到 达 DMZ ,所 以 即使 堡垒 主机 受到 损害 也 不 会 破坏 内 部 网 的 信息 流 。 

在 内 、 外 部 两 个 路 由 器 上 建立 的 包 过 滤 都 设置 了 包 过 滤 规 则 ,两 者 的 包 过 滤 规 则 基本 上 
相同 。 内 部 路 由 器 完成 防火 墙 的 大 部 分 包 过 滤 工 作 , 它 允许 某 些 站 点 的 包 过 滤 系 统 认 为 符 
合 安全 规则 的 服务 在 内 、 外 部 网 之 间 互 传 。 内 部 路 由 器 的 主要 功能 就 是 保护 内 部 网 免 受 来 
自 外 部 网 与 DMZ 的 侵扰 。 外 部 路 由 器 既 可 保护 DMZ, 又 可 保护 内 部 网 。 实 际 上 ,在 外 部 
路 由 器 上 仅 做 一 小 部 分 包 过 滤 , 它 几乎 让 所 有 DMZ 的 外 向 请 求 通过 。 外 部 路 由 器 的 包 过 
滤 主 要 对 DMZ 上 的 主机 提供 保护 。 


64 防火 墙 的 应 用 与 发 展 
64.1 防火 墙 的 应 用 


选用 防火 墙 首 先 要 明确 哪些 数据 是 必须 保护 的 ,这 些 数据 的 被 人 侵 会 导致 什么 样 的 后 
果 , 以 及 网 络 不 同 区 域 需要 什么 等 级 的 安全 级 别 。 不 管 采用 原始 设计 还 是 使 用 现成 的 防火 
墙 产品 ,对 于 防火 墙 的 安全 标准 ,首先 需 根据 安全 级 别 确定 ; 其 次 ,选用 防火 墙 必须 与 网 络 
接口 匹配 ,要 防止 可 以 预料 到 的 各 种 威胁 。 防 火 墙 可 以 是 软件 或 硬件 模块 ,并 能 集成 于 网 
桥 、 网 关 或 路 由 器 等 设备 之 中 。 

(1) 选用 防火 墙 时 要 注意 防火 墙 自身 的 安全 性 。 大 多 数 人 在 选用 防火 墙 时 都 将 注意 力 
放 在 防火 墙 如 何 控制 连接 以 及 防火 墙 支持 多 少 种 服务 上 ,但 往往 忽略 一 点 ,防火 墙 也 是 网 络 
上 的 设备 ,也 可 能 存在 安全 问题 。 防 火 墙 如 果 不 能 确保 自身 安全 , 则 其 控制 功能 再 强 , 也 终 
究 不 能 完全 保护 内 部 网 络 。 

(2) 要 考虑 用 户 的 安全 策略 中 的 特殊 需求 ,比如 : 
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IP 地 址 转换 。 进 行 IP 地 址 转换 有 两 个 好 处 : 一 是 隐藏 内 部 网 络 真正 的 IP 地 址 ,这 
可 以 使 黑客 无 法 直接 攻击 内 部 网 络 , 也 是 强调 防火 墙 自身 安全 性 的 主要 原因 ; 二 是 
可 以 让 内 部 用 户 使 用 保留 的 IP 地 址 ,这 对 许多 IP 不 足 的 企业 是 有 益 的 。 
双重 DNS。 当 内 部 网 络 使 用 没有 注册 的 IP 地 址 或 防火 墙 进行 IP 转换 时 ,DNS 也 
必须 经 过 转换 。 因 为 同样 一 个 主机 的 内 部 IP 与 给 予 外 界 的 IP 将 会 不 同 , 有 的 防火 
墙 会 提供 双重 DNS, 有 的 则 必须 在 不 同 主机 上 各 安装 一 个 DNS。 
虚拟 专用 网 络 (VPN)。VPN 可 以 在 防火 墙 与 防火 墙 或 移动 的 客户 机 间 对 所 有 网 络 
传输 的 内 容 加 密 ,建立 一 个 虚拟 通道 ,让 两 者 间 感 觉 是 在 同一 个 网 络 上 ,可 以 安全 且 
不 受 拘束 地 互相 存 取 。 
病毒 扫描 功能 。 大 部 分 防火 墙 都 可 以 与 防 病毒 系统 搭配 以 实现 病毒 扫描 功能 。 有 
的 防火 墙 则 可 以 直接 集成 病毒 扫描 功能 ,差别 只 是 病毒 扫描 工作 是 由 防火 墙 完成 ， 
或 是 由 另 一 台 专 用 的 计算 机 完成 。 
特殊 控制 需求 。 有 时 候 企业 会 有 特别 的 控制 需求 ,如 限制 特定 使 用 者 发 送 E-mail， 
FTP 只 能 下 载 文档 而 不 能 上 传 文档 ,限制 同时 上 网 人 数 、 使 用 时 间 等 , 依 需 求 不 同 
而 定 。 

(3) 如 何 选 用 最 符合 需要 的 产品 ,这 是 消费 者 最 关心 的 事 。 所 以 ,在 选用 防火 墙 软件 
时 ,明确 防火 墙 应 是 一 个 整体 网 络 的 保护 者 ,必须 能 弥补 其 他 操作 系统 的 不 足 , 应 为 使 用 者 
提供 不 同 平台 的 选择 ,应 能 向 使 用 者 提供 完善 的 售后 服务 等 。 


642 防火 墙 技术 的 发 展 


网 络 安全 通常 是 通过 技术 与 管理 两 者 相 结 合 来 实现 的 ,良好 的 网 络 管理 加 上 优秀 的 防 
火 墙 技术 是 提高 网 络 安全 性 能 的 最 好 选择 。 昌 然 网 络 防火 墙 技术 已 经 发 展 了 几 代 ,防火 墙 
的 研究 和 开发 人 员 也 已 尽 了 很 大 努力 ,但 用 户 的 需求 永远 是 推动 技术 前 进 的 源 动力 。 

随 着 网 上 的 攻击 手段 不 断 出 现 , 以 及 防火 墙 在 用 户 的 核心 业务 系统 中 占据 的 地 位 越 来 
越 重要 ,用 户 对 防火 墙 的 要 求 越 来 越 高 。 比 如 用 户 可 能 要 求 防火 墙 应 能 提供 更 细 粒 度 的 访 
问 控制 手段 ,防火墙 对 新 出 现 的 漏洞 和 攻击 方式 应 能 够 迅速 提供 有 效 的 防御 办 法 ,防火墙 的 
管理 应 更 加 容易 和 方便 ,防火 墙 在 紧急 情况 下 可 以 做 到 迅速 响应 ,防火 墙 具有 很 好 的 性 能 和 
稳定 性 等 。 用 户 的 这 些 要 求 归纳 起 来 是 防火 墙 技术 应 具备 智能 化 、 高 速度 、 分 布 式 、 多 功能 
和 专业 化 的 发 展 趋势 。 


1. 智能 化 


防火 墙 将 从 目前 的 静态 防御 策略 向 具备 人 工 智能 的 智能 化 方向 发 展 。 未 来 智能 化 的 防 
火 墙 应 能 实现 以 下 功能 : 
自动 识别 并 防御 各 种 黑客 攻击 手法 及 其 相应 变种 攻击 手法 。 
在 网 络 出 口 发 生 异 常 时 自动 调整 与 外 网 的 连接 端口 。 
根据 信息 流量 自动 分 配 ,调整 网 络 信息 流量 及 协同 多 台 物 理 设备 工作 。 
自动 检测 防火 墙 本 身 的 故障 并 能 自动 修复 。 
具备 自主 学 习 并 制定 识别 与 防御 方法 。 


2 


高 速度 


随 着 网 络 传输 速率 的 不 断 提高 ,防火 墙 必须 在 响应 速度 和 报 文 转发 速度 方面 做 相应 的 
升级 ,这 样 才 不 致 于 成 为 网 络 的 瓶颈 。 


3 


分 布 式 并 行 结构 


分 布 式 并 行 处 理 的 防火 墙 是 防火 墙 的 另 一 发 展 趋势 ,在 这 种 概念 下 ,将 有 多 台 物 理 防 火 
墙 协同 工作 ,共同 组 成 一 个 强大 的 具备 并 行 处 理 能 力 和 负载 均衡 能 力 的 迎 辑 防火 墙 。 


4. 


多 功能 


未 来 网 络 防火 墙 将 在 现 有 的 基础 上 继续 完善 其 功能 并 不 断 增加 新 的 功能 。 如 : 


5: 


在 保密 性 方面 ,将 继续 发 展 高 保密 性 的 安全 协议 用 于 建立 VPN ,基于 防火 墙 的 VPN 
在 较 长 一 段 时 间 内 将 继续 成 为 用 户 使 用 的 主流 。 

在 过 滤 方 面 ,将 从 目前 的 地 址 、 服 务 、URL、 文 本 、 关 键 字 过 滤 发 展 到 对 CGI、 
ActiveX、Java 等 Web 应 用 的 过 滤 ,并 将 逐渐 具备 病毒 过 滤 的 功能 。 

在 服务 方面 ,将 在 目前 透明 应 用 的 基础 上 完善 其 性 能 ,并 将 具备 针对 大 多 数 网 络 通 
信人 协 议 的 代理 服务 功能 。 

在 管理 方面 ,将 从 子 网 和 内 部 网 络 的 管理 方式 向 基于 专用 通道 和 安全 通道 的 远程 集 
中 管理 方式 发 展 ; 管理 端口 的 安全 性 将 是 其 重点 考虑 内 容 ; 用 户 费 用 统计 、 多 种 媒 
体 的 远程 警报 及 友好 的 图 形 化 管理 界面 将 成 为 防火 墙 的 基本 功能 模块 。 

在 安全 方面 ,对 网 络 攻击 的 检测 、 拦 截 及 告警 功能 将 继续 是 防火 墙 最 主要 的 性 能 
指标 。 


专业 化 


单 向 防火 墙 电 子 邮 件 防火 墙 \FTP 防火 墙 等 针对 特定 服务 的 专业 化 防火 墙 将 作为 一 
种 产品 门类 出 现 。 

未 来 防火 墙 的 发 展 思路 将 是 : 防火 墙 将 从 目前 对 子 网 或 内 部 网 管理 的 方式 向 远程 上 网 
集中 管理 的 方式 发 展 ; 过 滤 深 度 不 断 加 强 , 从 目前 的 地 址 .服务 过 滤 ,发 展 到 URL( 页 面 ) 过 
滤 、 关 键 字 过 滤 和 对 ActiveX Java 等 的 过 滤 ,并 逐渐 有 病毒 清除 功能 。 利 用 防火 墙 建立 
VPN 是 较 长 一 段 时 间 内 用 户 使 用 的 主流 ,IP 的 加 密 需 求 越 来 越 强 ,安全 协议 的 开发 是 一 大 
热点 ; 对 网 络 攻击 的 检测 和 告警 将 成 为 防火 墙 的 重要 功能 。 此 外 ， eae eg 
把 网 络 前 沿 技术 ,如 Web 页 面 超 高 速 缓存 、 虚 拟 网 络 和 带宽 管理 等 与 其 自身 结合 起 


习题 和 思考 题 


一 、 问 答题 


对 


防火 墙 的 主要 功能 有 哪些 ? 


2. 防火 墙 有 几 种 体系 结构 ,各 有 什么 特点 ? 
3. 简 述 防火 墙 的 发 展 趋势 。 
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4. 简 述 包 过 滤 防 火 墙 工作 机 制 。 
5. 代理 防火 墙 有 哪些 优 缺点 ? 


二 、 填 空 题 

1. 防火 墙 通常 设置 于 内 部 网 和 Internet 的 处 。 

2 是 一 种 能 够 保护 个 人 计算 机 系统 安全 的 软件 , 它 可 以 直接 在 用 户 计算 机 操 
作 系 统 上 运行 ,保护 计算 机 免 受 攻击 。 

3， 是 在 同一 结构 的 两 部 分 间或 同一 内 部 网 的 两 个 不 同 组 织 间 建立 的 防火 墙 。 

4. 防火 墙 的 不 足 之 处 有 不 能 防范 内 部 人 员 的 攻击 、 和 不 能 防范 恶 
意 程序 。 

5. 防火 墙 一 般 有 过 滤 路 由 器 结构 、 ` 主 机 过 滤 结 构 和 结构 。 

三 、 单 项 选择 题 


1. 基于 防火 墙 的 功能 分 类 ,有 _ (1) ”等 防火 墙 ; 基于 防火 墙 的 工作 原理 分 类 ,有 
(2) 等 防火 墙 ; 基于 防火 墙 的 体系 结构 分 类 ,有 _ (3) ”等 防火 墙 。 
(1) A. 包 过 滤 、 代 理 服务 和 状态 检测 B. 基于 路 由 器 和 基于 主机 系统 
C. FTP、Telnet、E-mail 和 病毒 D. 双 穴 主机 、 主 机 过 滤 和 子 网 过 滤 
(2) A. 包 过 滤 、 代 理 服务 和 状态 检测 B. 基于 路 由 器 和 基于 主机 系统 
C. FTP、Telnet、E-mail 和 病毒 D. 双 穴 主机 、 主 机 过 滤 和 子 网 过 滤 
(3) A. 包 过 滤 、 代 理 服务 和 状态 检测 B. 基于 路 由 器 和 基于 主机 系统 
C. FTP、Telnet、E-mail 和 病毒 D. 双 穴 主机 主机 过 滤 和 子 网 过 滤 
2. 将 防火 软件 安装 在 路 由 器 上 ,就 构成 了 简单 的 _(1) ; 由 一 台 过 滤 路 由 器 与 外 部 
网 络 相 连 , 再 通过 一 个 可 提供 安全 保护 的 主机 (堡垒 主机 ) 与 内 部 网 络 连接 ,这 是 (2) 体 
系 的 防火 墙 ; 不 管 是 哪 种 防火 墙 , 都 不 能 (3) 。 


(1) A. 包 过 滤 防 火 墙 B. 子 网 过 滤 防 火 墙 
C. 代理 服务 器 防火 墙 D. 主机 过 滤 防 火 墙 

(2) A. 包 过 滤 防 火 墙 B. 主机 过 滤 防 火 墙 
C. 代理 服务 器 防火 墙 D. 子 网 过 滤 防 火 墙 

(3) A. 强化 网 络 安全 策略 B. 对 网 络 存 取 和 访问 进行 监控 审计 
C. 防止 内 部 信息 的 外 汇 D. 防范 绕 过 它 的 连接 
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本 章 要 点 


网 络 病 毒 的 入 侵 与 防范 ; 

木马 和 蠕虫 的 攻击 与 防范 ; 

网 络 防 病 毒 软件 的 应 用 ; 

黑客 与 网 络 攻击 (攻击 的 类 型 .手段 .工具 及 防范 措施 ); 
入 侵 检测 系统 的 类 型 .结构 和 检测 过 程 , 入 侵 检测 技术 及 发 展 趋势 ; 
入 侵 防 护 系 统 的 功能 和 应 用 ; 

网 络 入 侵 检 测 工 具 的 应 用 ; 

网 络 系统 漏洞 和 网 络 扫描 及 扫描 软件 的 应 用 ; 

网 络 监听 和 网 络 嗅 探 器 (Sniffer) ; 

计算 机 紧急 响应 和 处 理 ; 

防 病毒 软件 的 应 用 实例 ; 

国产 木马 的 清除 方法 ; 

网 络 扫描 软件 的 应 用 实例 ; 

缓冲 区 溢出 攻击 实例 。 


在 1.3.3 节 中 提 到 的 P2DR 安全 模型 ,涉及 安全 策略 、 安 全 防护 、 安 全 检测 和 安全 响应 
四 个 主要 部 分 。 其 中 的 安全 防护 、 检 测 和 响应 组 成 了 一 个 动态 的 安全 体系 。 本 书 前 述 各 音 
介绍 的 网 络 访问 控制 .网 络 实体 安全 、 网 络 安 全 管理 数据 备份 和 归档 、 数 据 加 密 、 数 据 鉴别 
和 身份 验证 以 及 防火 墙 技术 等 大 部 分 都 是 安全 防护 的 内 容 。 安 全 防护 (Protection) 可 以 预 
防 和 避免 大 多 数 的 不 安全 事件 ,但 不 能 阻止 所 有 的 不 安全 事件 ,特别 是 那些 利用 新 的 系统 缺 
陷 、 新 攻击 手段 的 人 侵 事 件 。 因 此 ,一 个 完整 的 安全 策略 还 要 包括 实时 的 检测 和 响应 。 

一 旦 人 侵 者 穿 过 防护 系统 ,就 需要 根据 入 侵 事件 的 特征 对 系统 进行 人 侵 检测 
(Detection); 系统 管理 员 通 常 也 可 使 用 有 关 软 件 工具 对 系统 进行 安全 扫描 和 监听 (或 嗅 
探 )。 通 过 对 网 络 系统 不 断 地 进行 人 侵 检测 、 网 络 扫描 和 监听 ,可 发 现 信 侵 者 的 行为 ,以 及 系 
统 新 的 威胁 和 弱点 ,这样 可 通过 系统 的 循环 反馈 来 及 时 做 出 有 效 的 响应 。 

一 旦 检测 和 监控 到 入 侵 行为 ,响应 (Response) 系 统 就 要 进行 紧急 响应 和 恢复 处 理 。 紧 
急 响应 就 是 当 不 安全 事件 发 生 时 采取 的 应 对 措施 ; 恢复 处 理 是 指 事件 发 生 后 ,把 受 影响 的 
系统 恢复 到 原来 状态 或 比 原来 更 安全 的 状态 。 
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本 章 将 介绍 网 络 病毒 .黑客 及 网 络 攻击 ` 和 人 侵 检测 系统 、 网 络 扫描 \ 网 络 监听 (包括 嗅 探 ) 
和 紧急 响应 方面 的 内 容 。 


71 计算 机 网 络 病毒 与 防范 


几乎 所 有 的 人 都 听 说 过 * 计 算 机 病毒 ”这 个 名 词 ,使 用 过 计算 机 的 人 大 多 也 都 “领教 ?过 
计算 机 病毒 的 厉害 。 特 别 是 随 着 Internet 的 普及 应 用 和 各 种 计算 机 网 络 及 相关 技术 的 发 
展 ,计算 机 病毒 越 来 越 高 级 ,种 类 也 越 来 越 多 。 以 前 好 长 时 间 才 听 说 出 现 过 一 次 病毒 发 作 ， 
而 现在 几 天 甚至 几 小 时 之 内 就 有 计算 机 病毒 进行 大 破坏 的 消息 ,计算 机 病毒 不 时 地 对 计算 
机 网 络 系统 的 安全 构成 严重 的 威胁 。 对 网 络 管理 员 来 说 ,防御 计算 机 病毒 有 时 是 比 其 他 管 
理 更 困难 的 任务 。 对 人 们 来 说 ,了 解 和 预防 计算 机 病毒 的 威胁 显得 格外 重要 ,任何 网 络 系 统 
安全 的 讨论 都 要 考虑 到 计算 机 病毒 的 因素 。 


7.1.1 计算 机 病毒 概述 


计算 机 病毒 是 一 种 “计算 机 程序 ”, 它 不 仅 能 破坏 计算 机 系统 ,而 且 还 能 将 “病毒 "传播 、 
感染 到 其 他 系统 。 计 算 机 病毒 通常 隐藏 在 其 他 看 起 来 无 害 的 程序 中 ,能 生成 自身 的 复制 品 
并 将 其 插入 到 其 他 的 程序 中 ,执行 恶意 的 行动 。 

随 着 Internet 技术 的 发 展 ,计算 机 病毒 的 含义 也 在 逐步 发 生 着 变化 ,与 计算 机 病毒 特征 
和 人 危害 有 类 似 之 处 的 “特洛伊 木马 ”和 “蠕虫 ", 从 广义 角度 而 言 也 可 归 为 计算 机 病毒 之 列 。 
特洛伊 木马 通常 又 称 为 黑客 程序 ,其 关键 是 采用 隐藏 机 制 执行 非 授权 功能 。 蠕 虫 通过 网 络 
来 扩散 和 传播 特定 的 信息 或 错误 ,进而 造成 网 络 服务 遭 到 拒绝 ,并 出 现 死 锁 现象 或 使 系统 崩 
省 ,蠕虫 对 网 络 系统 的 危害 日 益 严 重 。 

一 般 意 义 上 的 计算 机 病毒 是 在 1986 年 前 后 出 现 的 。 在 此 后 的 十 多 年 时 间 里 ,病毒 制作 
技术 也 从 逐步 发 展 到 发 展 很 快 ,特别 是 进入 21 世纪 的 几 年 中 ,计算 机 病毒 的 发 展 非常 迅速 ， 
病毒 数量 猛 增 , 破 坏 性 也 越 来 越 大 。 


1. 计算 机 病毒 的 特征 


任何 计算 机 病毒 都 是 人 为 制造 的 .具有 一 定 破坏 性 的 程序 。 它 们 与 生物 病毒 有 不 同 点 ， 
也 有 相似 之 处 。 概 括 起 来 ,计算 机 病毒 具有 破坏 性 \ 传 染 性 、 隐 蔽 性 、 潜 伏 性 ,不 可 预见 性 , 衍 
生性 、 针 对 性 等 特征 。 

(1) 破坏 性 

任何 病毒 只 要 侵入 计算 机 系统 ,都 会 对 系统 及 应 用 程序 产生 程度 不 同 的 影响 。 良 性 病 
毒 可 能 只 显示 些 画 面 或 播 出 音乐 ,无聊 的 语句 ,或 者 根本 没有 任何 破坏 动作 ,但 会 占用 系统 
资源 。 恶 性 病毒 则 有 明确 的 目的 ,或 破坏 数据 、 删 除 文件 ,或 加 密 磁盘 、 格 式 化 磁盘 ,有 的 对 
数据 造成 不 可 挽回 的 破坏 。 恶 性 病毒 的 危害 性 很 大 ,严重 时 可 导致 系统 死机 ,甚至 网 络 瘫 
痪 。 这 也 反映 出 病毒 编制 者 的 险恶 用 心 。 

(2) 传染 性 

计算 机 病毒 的 传染 性 ,也 叫 自我 复制 或 传播 性 ,这 是 病毒 的 本 质 特 征 。 在 一 定 条 件 下 ， 
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病毒 可 以 通过 某 种 渠道 从 一 个 文件 或 一 台 计 算 机 上 传染 到 另外 的 没 被 感染 的 文件 或 计算 机 
上 。 当 你 在 一 台 机 器 上 发 现 病毒 时 ,往往 曾 在 这 台 计 算 机 上 用 过 的 软盘 已 感染 上 了 病毒 ,而 
与 这 台 机 器 相 联 网 的 其 他 计算 机 也 许 也 被 该 病毒 侵 染 了 。 感 染 的 病毒 轻 则 使 被 感染 的 文件 
或 计算 机 数据 破坏 或 工作 失常 , 重 则 使 系统 次 病 。 是 否 具有 传染 性 是 判别 一 个 程序 是 否 为 
计算 机 病毒 的 最 重要 依据 。 

(3) 隐 项 性 

计算 机 病毒 一 般 是 一 些 短小 精 悍 的 程序 ,通常 附 在 正常 程序 中 或 磁盘 代码 中 ,病毒 程序 
与 正常 程序 是 不 容易 区 别 开 来 的 。 一 般 在 没有 防护 措施 的 情况 下 ,计算 机 病毒 程序 取得 系 
统 控制 权 后 ,可 以 在 很 短 的 时 间 里 传染 大 量程 序 。 而 且 受 到 传染 后 ,计算 机 系统 通常 仍 能 正 
常 运行 ,使 用 户 不 会 感到 任何 异常 。 正 是 由 于 这 种 隐蔽 性 ,计算 机 病毒 才 得 以 在 用 户 没 有 察 
觉 的 情况 下 扩散 到 众多 的 计算 机 中 。 大 部 分 的 病毒 代码 之 所 以 设计 得 非常 短小 ,也 是 为 了 
便于 隐藏 。 大 部 分 的 病毒 感染 系统 后 一 般 不 会 马上 发 作 , 可 在 几 天 、 几 周 、 几 个 月 其 至 几 年 
内 隐藏 起 来 而 不 被 发 现 。 只 有 在 满足 其 特定 条 件 ( 如 特定 日 期 ) 时 才 会 改作。 如 “PETER- 
2” 在 每 年 2 月 27 日 会 提 三 个 问题 , 答 错 后 会 将 硬盘 加 密 ; 著名 的 “黑色 星期 五 ”病毒 在 首 13 
日 的 星期 五 发 作 ; 国内 的 上海 一 号 ”病毒 会 在 每 年 三 、 六 、 九 月 的 13 日 发 作 等 。 这 些 病毒 
在 平时 会 隐藏 得 很 好 ,只 有 在 发 作 日 才 会 露出 本 来 面目 。 

(4) 不 可 预见 性 

计算 机 病毒 的 制作 技术 不 断 提高 ,种 类 也 不 断 翻 新 ,而 相 比 之 下 , 防 病 毒 技 术 落 后 于 病 
毒 制作 技术 。 新 型 操作 系统 .新 型 软件 工具 的 应 用 ,也 为 病毒 编制 者 提供 了 方便 。 因 此 ,对 
未 来 病毒 的 类 型 ,特点 及 破坏 性 等 均 很 难 预测 。 

(5) 衍生 性 

计算 机 病毒 程序 可 被 他 人 模仿 或 修改 ,经 过 恶作剧 者 或 恶意 攻击 者 的 改写 ,就 可 能 成 为 
原 病毒 的 变种 ,衍生 出 多 种 “同根 ”病毒 。 

(6) 针对 性 

很 多 计算 机 病毒 并 非 任 何 环境 下 都 可 起 作用 ,而 是 有 一 定 的 运行 环境 要 求 ,只 有 在 软 、 
硬件 条 件 满 足 要 求 时 才能 发 作 。 


2. 计算 机 病毒 的 分 类 


随 着 Internet 的 发 展 和 普及 应 用 ,病毒 的 数量 和 种 类 也 在 不 断 增加 。 据 国外 统计 ,计算 
机 病毒 以 10 种 / 周 的 速度 递增 , 另 据 我 国 公安 部 统计 ,国内 以 4 一 6 种 /月 的 速度 递增 。 

按 破坏 程度 的 强 弱 不 同 ,计算 机 病毒 可 分 为 良性 病毒 和 恶性 病毒 ; 按 传染 方式 的 不 同 ， 
计算 机 病毒 可 分 为 文件 型 病毒 和 引导 型 病毒 ; 按 连 接 方式 的 不 同 , 计 算 机 病毒 可 分 为 源码 
型 病毒 .嵌入 型 病毒 .操作 系统 型 病毒 和 外 壳 型 病毒 。 

良性 病毒 是 指 那些 只 是 为 了 表现 自身 ,并 不 彻底 破坏 系统 和 数据 ,但 会 占用 大 量 CPU 
时 间 , 增 加 系统 开销 ,降低 系统 工作 效率 的 一 类 计算 机 病毒 。 该 类 病毒 制作 者 的 目的 不 是 为 
了 破坏 系统 和 数据 ,而 是 为 了 让 使 用 染 有 病毒 的 计算 机 用 户 通过 显示 器 看 到 或 体会 到 病毒 
设计 者 的 编程 技术 。 

恶性 病毒 是 指 那些 一 旦 发 作 ,就 会 破坏 系统 或 数据 ,造成 计算 机 系统 次 次 的 一 类 计算 机 
病毒 。 该 类 病毒 危害 极 大 ,有 些 病 毒 发 作 后 可 能 给 用 户 造成 不 可 挽回 的 损失 。 该 类 病毒 表 
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现 为 封锁 ,和 干扰、 中断 输入 输出 ,删除 数据 \ 破 坏 系 统 , 使 用 户 无 法 正常 工作 ,严重 时 使 计算 机 

文件 型 病毒 一 般 只 传染 磁盘 上 的 可 执行 文件 (如 . com、. exe 文件 )。 在 用 户 运行 染 毒 的 
可 执行 文件 时 ,病毒 首先 被 执行 ,然后 病毒 驻 留 内 存 伺机 传染 其 他 文件 或 直接 传染 其 他 文 
件 。 这 类 病毒 的 特点 是 附着 于 正常 程序 文件 中 ,成 为 程序 文件 的 一 个 外 过 或 部 件 。 这 是 一 
种 较为 常见 的 传染 方式 。 当 该 病毒 完成 了 它 的 工作 后 ,其 正常 程序 才 被 运行 ,使 人 看 起 来 仿 
佛 一 切 都 很 正常 。 

引导 型 病毒 是 指 寄生 在 磁盘 引导 区 或 主 引导 区 的 计算 机 病毒 。 该 类 病毒 感染 的 主要 方 
式 就 是 发 生 在 计算 机 通过 已 被 感染 的 引导 盘 ( 常 见 的 如 一 个 软盘 ) 引 导 时 。 引 导 型 病毒 利用 
系统 引导 时 不 对 主 引 导 区 内 容 的 正确 性 进行 判别 的 缺点 ,在 引导 系统 时 侵入 系统 , 驻 留 内 
存 , 监 视 系统 运行 。 此 时 ,如 果 计 算 机 从 被 感染 的 软盘 引导 ,病毒 就 会 感染 到 引导 硬盘 ,并 把 
病毒 代码 调 入 内存。 软盘 并 不 需要 一 定 是 可 引导 的 才能 传播 病毒 ,病毒 可 驻 留 在 内 存 并 可 
感染 被 访问 的 软盘 。 触 发 引导 型 病毒 的 典型 事件 是 系统 日 期 和 时 间 。 

源码 型 病毒 较为 少见 , 亦 难以 编写 。 它 要 攻击 高 级 语言 编写 的 源 程序 ,在 源 程序 编译 之 
前 插入 其 中 ,并 随 源 程 序 一 起 编译 .连接 成 可 执行 文件 ,这 样 刚刚 生成 的 可 执行 文件 便 已 经 
带 毒 了 。 

嵌入 型 病毒 可 用 自身 代替 正常 程序 中 的 部 分 模块 ,因此 , 它 只 攻击 某 些 特定 程序 ,针对 
性 强 。 一 般 情况 下 也 难以 被 发 现 ,清除 起 来 也 较 困 难 。 

操作 系统 型 病毒 可 用 其 自身 部 分 加 入 或 替代 操作 系统 的 部 分 功能 。 因 其 直接 感染 操作 
系统 ,因此 病毒 的 危害 性 也 较 大 ,可 能 导致 整个 系统 瘫痪 。 

外 过 型 病毒 将 自身 附着 在 正常 程序 的 开头 或 结尾 ,相当 于 给 正常 程序 加 了 个 外 壳 。 大 
部 分 的 文件 型 病毒 都 属于 这 一 类 。 


3. 计算 机 病毒 的 传播 


计算 机 病毒 是 通过 某 个 人 侵 点 进入 系统 进行 传染 的 。 在 网 络 中 可 能 的 入 侵 点 有 服务 
器 ,电子 邮件 .BBS 上 下 载 的 文件 .WWW 站 点 .FTP 文件 下 载 . 网 络 共享 文件 及 常规 的 网 络 
通信 、 咨 版 软件 .示范 软件 .计算 机 实验 室 和 其 他 共享 设备 。 

病毒 传播 进入 系统 的 途径 主要 有 网 络 .可 移动 存储 设备 和 通信 系统 三 种 。 

(1) 网 络 

计算 机 网 络 为 现代 信息 的 传输 和 共享 提供 了 极 大 的 方便 ,但 它 也 成 了 计算 机 病毒 迅速 
传播 扩散 的 “高 速 公 路 ”。 在 网 络 上 . 带 有 病毒 的 文件 .邮件 被 下 载 或 接收 后 被 打开 或 运行 ， 
病毒 就 会 扩散 到 系统 中 相关 的 计算 机 上 。 服 务 器 是 网 络 的 整体 或 部 分 核心 ,一 旦 其 关键 文 
件 被 感染 ,再 通过 服务 器 的 扩散 ,病毒 将 会 对 系统 造成 巨大 的 破坏 。 在 信息 国际 化 的 同时 ， 
病毒 也 在 国际 化 ,计算 机 网 络 将 是 今后 计算 机 病毒 传播 的 主要 途径 。 

(2) 可 移动 的 存储 设备 

计算 机 病毒 可 通过 可 移动 的 存储 设备 (如 软盘 、 磁 带 、 光 盘 、 优 盘 等 ) 进 行 传播 。 在 这 些 
可 移动 的 存储 设备 中 ,软盘 和 优盘 是 应 用 最 广泛 且 移 动 性 最 频繁 的 存储 介质 ,将 带 有 病毒 的 
软盘 (或 优盘 ) 在 网 络 中 的 计算 机 上 使 用 ,软盘 (或 优盘 ) 所 带 病毒 就 很 容易 被 扩散 到 网 络 上 。 
大 量 的 计算 机 病毒 都 是 从 这 类 途径 传播 的 。 
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(3) 通信 系统 

通过 点 对 点 通信 系统 和 无 线 通信 信道 也 可 传播 计算 机 病毒 。 目 前 出 现 的 手机 病毒 就 是 
利用 无 线 信道 传播 的 。 虽 然 目前 这 种 传播 途径 还 不 十 分 广泛 ,但 以 后 很 可 能 成 为 仅 次 于 计 
算 机 网 络 的 第 二 大 病毒 扩散 渠道 。 


4. 计算 机 病毒 的 危害 


提 到 计算 机 病毒 的 危害 ,人 们 往往 注重 病毒 对 信息 系统 的 直接 破坏 ,如 格式 化 硬盘 、 删 
除 文件 等 ,并 以 此 来 区 分 恶性 病毒 和 良性 病毒 。 但 随 着 计算 机 应 用 的 发 展 和 计算 机 病毒 的 
发 展 及 破坏 程度 的 增加 ,计算 机 病毒 的 危害 性 越 来 越 严重 。 根 据 IDC( 互 联网 数据 中 心 ) 的 
统计 ,全 世界 每 年 因为 病毒 造成 的 直接 损失 ,可 以 达到 数 千 亿美 元 。 计 算 机 病毒 的 主要 危害 
有 攻击 系统 数据 区 、 攻 击 文件 .抢占 系统 资源 .占用 磁盘 空间 和 破坏 信息 .干扰 系统 运行 、 使 
运行 速度 下 降 ,攻击 CMOS 攻击 和 破坏 网 络 系统 等 。 


7.12 网 络 病毒 及 其 防范 


网 络 病毒 实际 上 是 一 个 笼统 的 概念 ,可 以 从 两 方面 理解 : 一 是 专门 指 在 网 络 上 传播 、 并 
对 网 络 进行 破坏 的 病毒 ; 二 是 指 与 Internet 有 关 的 病毒 ,如 HTML 病毒 .电子 邮件 病毒 、 
Java 病毒 等 。 

Internet 的 开放 性 为 计算 机 病毒 广泛 传播 提供 了 方便 ,Internet 本 身 的 安全 漏洞 也 为 产 
生 新 的 计算 机 病毒 提供 了 良好 条 件 , 加 之 一 些 新 的 网 络 编程 软件 (如 JavaScript、ActiveX) 
也 为 将 计算 机 病毒 渗透 到 网 络 的 各 个 角落 提供 了 便利 。 这 就 是 近 几 年 兴起 并 大 肆 肆 虐 网 络 
系统 的 “网 络 病毒 ”。 

据 权 威 报告 分 析 显示 ,目前 病毒 的 传播 渠道 主要 是 网 络 ,比例 高 达 97% ,而 经 过 磁盘 等 
其 他 渠道 传播 的 病毒 仅 占 3%。 而 在 网 络 上 通过 邮件 传播 的 病毒 又 占 80% 以 上 的 比例 。 

提起 网 络 病毒 ,使 用 网 络 系 统 ( 包 括 Internet) 的 用 户 想必 并 不 陌生 ,甚至 很 多 用 户 深 受 
其 害 。 人 们 也 使 用 了 许多 种 防 病 毒 软件 ,但 仍 经 常 受到 病毒 的 攻击 。 经 历 过 CIH、“ 求 职 
信 ”、“ 震 荡 波 ” 等 病毒 的 洗礼 ,人 们 已 知道 了 “ 查 杀 病 毒 不 可 能 一 劳 永 逸 ”的 道理 ,明白 了 维护 
计算 机 的 安全 是 一 项 漫长 的 过 程 。 


1. 网 络 病毒 的 传播 


Internet 的 飞速 发 展 给 防 病毒 工作 带 来 了 新 的 挑战 。Internet 上 有 众多 的 软件 .工具 可 
供 下 载 ,有 大 量 的 数据 交换 ,这 给 病毒 的 大 面积 传播 提供 了 可 能 和 方便 。Internet 本 身 也 衍 
生出 一 些 新 一 代 病 毒 , 如 Java 和 ActiveX 病毒 。 这 些 病 毒 不 需要 寄主 程序 ,它们 可 通过 
Internet 到 处 肆虐 寄主 ,可 以 与 传统 病毒 混杂 在 一 起 ,不 被 人 们 觉察 。 更 有 甚 者 ,它们 可 跨 
越 操 作 平台 ,一 旦 传染 , 便 可 毁坏 所 有 操作 系统 。 网 络 病毒 一 旦 突破 网 络 安全 系统 ,传播 到 
网 络 服务 器 ,进而 在 整个 网 络 上 传染 再 生 ,就 会 使 网 络 资源 遭 到 严重 破坏 。 

除 通 过 电子 邮件 传播 外 ,病毒 人 侵 网 络 的 途径 还 有 : 病毒 通过 工作 站 传播 到 服务 器 硬 
盘 , 再 由 服务 器 的 共享 目录 传播 到 其 他 工作 站 ; 网 络 上 下 载 带 病毒 的 文件 的 传播 ; 人 侵 者 
通过 网 络 漏洞 的 传播 等 。Internet 可 以 作为 文件 病毒 的 载体 ,通过 它 ,文件 病毒 可 以 很 方便 
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地 传送 到 其 他 站 点 。 例 如 ,用 户 在 使 用 网 络 时 ,可 直接 从 文件 服务 器 复制 已 感染 病毒 的 文 
件 ; 用 户 在 工作 站 上 执行 一 个 带 毒 操作 文件 ,该 病毒 就 会 感染 网 络 上 其 他 可 执行 文件 ; 用 
户 在 工作 站 上 执行 带 毒 内 存 驻 留 的 文件 后 ,再 访问 网 络 服务 器 时 可 感染 更 多 的 文件 。 


2. 网 络 病毒 的 特点 


计算 机 网 络 的 主要 功能 是 资源 共享 。 一 旦 共享 资源 感染 了 病毒 ,网 络 各 节点 间 信 息 的 
频繁 传输 会 将 计算 机 病毒 传染 到 所 共享 的 机 器 上 ,从 而 形成 多 种 共享 资源 的 交叉 感染 。 病 
毒 的 迅速 传播 再生、 发作, 将 造成 比 单机 病毒 更 大 的 危害 ,因此 网 络 环境 下 计算 机 病毒 的 防 
治 就 显得 更 加 重要 了 。 

网 络 环境 下 的 计算 机 病毒 有 以 下 特点 : 

。 传播 方式 复杂 ,传播 速度 快 . 范 围 广 。 病毒 人 侵 网 络 主要 是 通过 电子 邮件 、 网 络 共 
享 、 网 页 浏览 .服务 器 共享 目录 等 方式 ,病毒 的 传播 方式 多 上 且 复杂 。 在 网 络 环境 下 病 
毒 可 以 通过 网 络 通信 机 制 ,借助 于 网 络 线路 进行 迅速 传输 和 扩散 ,特别 是 通过 
Internet, 一 种 新 出 现 的 病毒 可 以 迅速 传 遍 全 球 各 地 。 如 “ 爱 虫 " 病 毒 在 一 两 天 时 间 
内 就 迅速 传 闹 了 世界 的 主要 计算 机 网 络 , 并 造成 了 局 部 区 域 计算 机 网 络 瘫痪 。 
破坏 危害 大 。 网 络 病毒 将 直接 影响 网 络 的 工作 , 轻 则 降低 速度 ,影响 工作 效率 , 重 则 
破坏 服务 器 系统 资源 ,造成 网 络 系 统 瘫痪 ,使 众多 工作 毁 于 一 旦 。“ 爱 虫 "“ 冲 击 
波 ”CIH 等 病毒 都 给 世界 计算 机 信息 系统 和 网 络 系统 带 来 了 灾难 性 的 破坏 。 有 的 
造成 了 网 络 阻塞 ,甚至 瘫痪 ,有 的 造成 重要 数据 丢失 ,有 的 造成 计算 机 内 存储 的 大 量 
机 密 信息 被 窃取 ,甚至 还 有 些 信息 系统 和 网 络 被 人 为 控制 。 
病毒 变种 多 ,病毒 功能 多 样 化 。 利 用 种 类 繁多 且 丰 富 的 编程 语言 编制 的 计算 机 病毒 
也 是 种 类 繁杂 , 这些 病 毒 容易 编写 ,也 容易 修改 .升级 ,从 而 生成 许多 新 的 变种 ,如 
“ 爱 虫 "病毒 在 十 几 天 之 内 就 出 现 了 三 十 多 个 变种 。 有 些 现代 病毒 有 后 门 程序 的 功 
能 ,这 些 病毒 一 旦 侵入 计算 机 系统 ,病毒 控制 者 可 以 从 人 侵 的 系统 中 窃取 信息 ,进行 
远程 控制 。 因 此 ,现代 计算 机 病毒 具有 了 功能 多 样 化 的 特点 。 
清除 难度 大 ,难以 控制 。 在 网 络 环境 下 病毒 感染 的 站 点 数量 多 ,范围 广 ,只 要 有 一 个 
站 点 的 病毒 未 清除 干净 , 它 就 会 在 网 络 上 再 次 被 传播 开 来 ,甚至 是 刚刚 完成 清除 任 
务 的 站 点 ,因此 现代 病毒 的 清除 工作 难度 极 大 ; 且 病 毒 一 旦 在 网 络 环境 下 传播 . 蔓 
延 ,就 很 难 对 其 进行 控制 。 


3. 网 络 病毒 的 预防 


由 于 网 络 病毒 通过 网 络 传播 ,具有 传播 速度 快 .传染 范围 大 破坏 性 强 等 特点 ,因此 建立 
网 络 系 统 病 毒 防护 体系 ,采用 有 效 的 网 络 病毒 预防 措施 和 技术 显得 尤为 重要 。 

网 络 管理 人 员 和 操作 人 员 要 在 思想 上 有 防 病毒 意识 ,以 预防 为 主 。 防 范 病 毒 主要 从 技 
术 和 管理 两 方面 人 手 。 

采取 有 效 成 熟 的 技术 措施 预防 计算 机 网 络 病毒 是 十 分 重要 的 。 针 对 病毒 的 特点 ,利用 
现 有 的 技术 和 开发 新 的 技术 ,使 防 病毒 软件 在 与 计算 机 病毒 的 抗争 中 不 断 得 到 完善 ,更 好 地 
发 挥 保护 作用 。 现 在 已 有 很 多 较 成 熟 的 防 病毒 技术 和 软件 系统 被 广大 计算 机 用 户 使 用 。 

除 使 用 成 熟 的 防 病毒 技术 外 ,用 户 在 使 用 网 络 系统 时 也 要 有 严格 的 管理 措施 。 病 毒 预 
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防 的 管理 问题 ,涉及 管理 制度 、 行 为 规章 和 操作 规程 等 。 如 机 房 或 计算 机 网 络 系统 要 制定 严 
格 的 管理 制度 ,避免 茧 意 制 造 ,传播 病毒 的 事件 发 生 ; 对 接触 计算 机 系统 的 人 员 进 行 选择 和 
审查 ; 对 系统 工作 人 员 和 资源 进行 访问 权限 划分 ; 下 载 的 文件 要 经 过 严格 检查 ,甚至 下 载 
文件 .接收 邮件 要 使 用 专门 的 终端 和 账号 ,接收 到 的 程序 要 严格 限制 执行 等 。 通 过 建立 安全 
管理 制度 ,及 早 发 现 和 清除 安全 隐患 ,可 减少 或 避免 计算 机 病毒 的 入 侵 。 此 外 ,在 管理 方面 
也 涉及 法 律 和 行政 法 规 、 安 全 宣传 和 培训 等 问题 。 


4. 网 络 病毒 的 检测 


判断 一 个 计算 机 系统 有 无 感染 病毒 ,首先 要 进行 病毒 的 检测 ,检测 到 病毒 的 存在 后 才能 
对 病毒 进行 清除 。 通 过 检测 ,能 及 早 地 发 现 病毒 ,并 及 时 进行 处 理 , 可 以 有 效 地 抑制 病毒 的 
蔓延 , 尽 可 能 地 减少 损失 。 所 以 ,病毒 的 检测 非常 重要 。 

计算 机 工作 时 可 能 会 出 现 一 些 异常 现象 ,这 些 异常 有 可 能 是 感染 了 计算 机 病毒 所 致 。 
通过 观察 这 些 异 常情 况 可 初步 判断 出 可 能 是 系统 的 哪个 部 分 受到 病毒 的 袭击 ,为 进一步 诊 
断 和 清除 病毒 做 好 准备 。 

对 网 络 病毒 检测 还 可 以 采用 比较 ,扫描 、 分 析 等 方法 进行 。 

比较 法 是 用 原始 备份 与 被 检测 的 引导 扇 区 或 被 检测 的 文件 进行 比较 。 使 用 比较 法 可 发 
现 文件 的 长 度 是 否 有 变化 ,文件 内 的 程序 代码 是 否 有 变化 ,引导 扇 区 中 的 程序 代码 是 否 有 变 
化 等 。 对 硬盘 主 引导 扇 区 或 对 DOS 引导 扇 区 进行 检测 就 能 发 现 其 中 的 程序 代码 是 否 发 生 
了 变化 。 使 用 比较 法 还 可 以 发 现 那些 尚 不 能 被 现 有 检查 病毒 程序 发 现 的 计算 机 病毒 。 比 较 
法 的 优点 是 简单 方便 ,不 需 专用 软件 ; 缺点 是 无 法 确定 病毒 的 类 型 和 名 称 。 

扫描 法 也 叫 特征 代码 法 , 它 是 用 每 一 种 病毒 体 含有 的 特定 字符 串 对 被 检测 的 对 象 进行 
扫描 。 如 果 在 被 检测 对 象 中 发 现 了 某 种 特定 字符 串 , 则 该 字符 串 可 能 就 是 病毒 。 扫 描 法 的 
优点 是 检测 准确 ,快速 ,可 识别 病毒 名 称 和 类 别 , 误 报警 率 低 ,容易 对 病毒 进行 清除 处 理 ; 但 
缺点 是 不 能 检测 未 知 病毒 ,收集 已 知 病毒 的 特征 代码 的 开销 较 大 。 

对 计算 机 病毒 进行 分 析 要 有 一 定 的 专业 知识 ,通常 使 用 分 析 法 的 人 都 是 防 杀 病毒 的 专 
业 技术 人 员 而 非 一 般 用 户 。 要 使 用 分 析 法 检测 病毒 ,除了 要 具备 前 述 专 业 知 识 外 ,还 需要 有 
Debug、Proview 等 分 析 用 工具 软件 和 专用 的 试验 计算 机 。 因 为 即使 是 很 熟练 的 防 杀 计算 机 
病毒 的 技术 人 员 ,使 用 性 能 完善 的 分 析 软 件 ,也 不 能 保证 在 短 时 间 内 将 计算 机 病毒 代码 完全 
分 析 清 楚 。 而 计算 机 病毒 有 可 能 在 分 析 阶 段 继 续 传染 甚至 发 作 ,把 软盘 、 硬 盘 中 的 数据 完全 
毁坏 掉 , 这 就 要 求 分 析 工 作 必须 在 专门 设立 的 试验 计算 机 上 进行 。 


5. 网 络 病毒 的 清除 


当 系 统 感染 病毒 后 ,可 采取 以 下 措施 进行 紧急 处 理 , 恢 复 系统 或 受 损 部 分 : 

。 隔离 。 当 某 计 算 机 感染 病毒 后 ,可 将 其 与 其 他 计算 机 进行 隔离 ,避免 相互 复制 。 当 
网 络 中 某 节点 感染 病毒 后 ,网 络 管理 员 必须 立即 切断 该 节点 与 网 络 的 连接 ,以 避免 
病毒 扩散 到 整个 网 络 。 

。 报警 。 病 毒 感染 点 被 隔离 后 ,要 立即 向 网 络 系统 安全 管理 人 员 报 和 警 。 

。 查 毒 源 。 接 到 报警 后 ,系统 安全 管理 人 员 可 使 用 相应 防 病毒 系统 鉴别 受 感染 的 机 器 
和 用 户 ,检查 那些 经 常 引 起 病毒 感染 的 节点 和 用 户 ,并 查找 病毒 的 来 源 。 
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采取 应 对 方法 和 对 策 。 网 络 系统 安全 管理 人 员 要 对 病毒 的 破坏 程度 进行 分 析 检 查 ， 
并 根据 需要 决定 采取 有 效 的 病毒 清除 方法 和 对 策 。 如 果 被 感染 的 大 部 分 是 系统 文 
件 和 应 用 程序 文件 ,上 且 感染 程度 较 深 , 则 可 采取 重 装 系统 的 方法 来 清除 病毒 ; 如 果 
感染 的 是 关键 数据 文件 ,或 破坏 较 严 重 时 ,可 请 防 病毒 专家 进行 清除 病毒 和 恢复 数 
据 的 工作 。 
修复 前 备份 数据 。 在 对 被 感染 的 病毒 进行 清除 前 , 尽 可 能 将 重要 的 数据 文件 备份 ， 
以 防 在 使 用 防毒 软件 或 其 他 清除 工具 查 杀 病毒 时 ,也 将 重要 数据 文件 误杀 。 
清除 病毒 。 重 要 数据 备份 后 ,运行 查 杀 病毒 软件 ,并 对 相关 系统 进行 扫描 。 发 现 有 
病毒 ,立即 清除 。 如 果 可 执行 文件 中 的 病毒 不 能 清除 ,应 将 其 删除 ,然后 再 安装 相应 
的 程序 。 
重启 和 恢复 。 病 毒 被 清除 后 ,重新 启动 计算 机 ,再 次 用 防 病毒 软件 检测 系统 是 否 还 
有 病毒 ,并 将 被 破坏 的 数据 进行 恢复 。 

当 确 定 病 毒 已 侵入 系统 后 ,可 使 用 防 病毒 软件 对 计算 机 病毒 进行 查 杀 。 目 前 成 熟 的 防 
病毒 软件 已 经 可 以 做 到 对 所 有 的 已 知 病毒 进行 检测 和 清除 ,如 瑞星 2009 版 .KV 2008 .诺顿 
2009 .金山 毒霸 2009 等 。 


7.1.3 木马 和 蠕虫 的 防范 


1. 恶意 代码 


恶意 代码 是 一 种 干扰 和 破坏 计算 机 系统 的 程序 代码 , 它 通 常 把 代码 在 不 被 察觉 的 情况 
下 寄宿 到 另 一 段 程序 中 ,从 而 达到 破坏 被 感染 计算 机 数据 .运行 具有 入侵 性 或 破坏 性 的 程 
序 、 破 坏 被 感染 的 系统 数据 的 安全 性 和 完整 性 的 目的 。 按 其 工作 机 理 和 传播 方式 区 分 ,常见 
的 恶意 代码 有 普通 病毒 ,木马 .蠕虫 .移动 代码 、 逻 辑 炸 弹 、 后 门 程序 等 类 型 。 本 节 主 要 介绍 
木马 和 蠕虫 。 

(1) 普通 病毒 

前 面 所 述 的 普通 病毒 一 般 都 具有 自我 复制 的 功能 ,同时 ,它们 还 可 以 把 自己 的 副本 分 发 
到 其 他 文件 程序 或 计算 机 中 去 。 病 毒 一 般 寄宿 在 主机 的 程序 中 , 当 被 感染 文件 执行 操作 的 
时 候 ,病毒 就 会 自我 复制 。 

(2) 木马 

特洛伊 木马 (简称 木马 ) 这 类 代码 是 根据 古 希 腊 神 话 中 的 木马 来 命名 的 ,如 今 黑客 程序 
借用 其 名 ,有 “一 经 潜入 ,后 患 无 穷 ” 之 意 。 这 种 程序 从 表面 上 看 没有 什么 ,但 是 实际 上 却 隐 
含 着 恶意 企图 。 一 些 木马 程序 会 通过 覆盖 系统 中 已 经 存在 的 文件 的 方式 存在 于 系统 之 中 ， 
还 有 一 些 木马 会 以 软件 的 身份 出 现 , 但 它 实 际 上 是 一 个 窃取 密码 的 工具 。 这 种 代码 通常 不 
容易 被 发 现 , 因 为 它 一 般 以 一 个 正常 应 用 的 身份 在 系统 中 运行 。 

(3) 蠕虫 

蠕虫 是 一 种 可 以 自我 复制 的 完全 独立 的 程序 , 它 的 传播 不 需要 借助 被 感染 主机 中 的 其 
他 程序 。 蠕 虫 的 自我 复制 不 像 其 他 的 病毒 , 它 可 以 自动 创建 与 它 的 功能 完全 相同 的 副本 ,并 
在 没 人 干涉 的 情况 下 自动 运行 。 蠕 虫 是 通过 系统 中 存在 的 漏洞 和 设置 的 不 安全 性 进行 人 侵 
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的 。 它 的 自身 特性 可 以 使 它 以 极 快 的 速度 传播 。 

(4) 移动 代码 

移动 代码 是 能 够 从 主机 传输 到 客户 端 计算 机 上 并 执行 的 代码 , 它 通 常 是 作为 病毒 、 蠕 虫 
或 是 木马 的 一 部 分 被 传送 到 客户 计算 机 上 的 。 另 外 ,移动 代码 可 以 利用 系统 的 漏洞 进行 人 
侵 ,例如 非法 的 数据 访问 和 盗 取 root 账号 。 通 常用 于 编写 移动 代码 的 工具 有 Java Applets、 
ActiveX Java Script 和 VB Script 等 。 

(5) 逻辑 炸弹 

逻辑 炸弹 是 以 破坏 数据 和 应 用 程序 为 目的 的 程序 ,对 网 络 和 系统 有 很 大 的 破坏 性 。 慢 
辑 炸 弹 一 般 是 由 黑客 或 组 织 内 部 员工 编制 ,并 在 特定 时 间 对 特定 程序 或 数据 目标 进行 破坏 。 

(6) 后 门 程序 

后 门 程序 一 般 是 指 那 些 绕 过 系统 安全 控制 而 获取 对 程序 或 系统 的 特殊 访问 权 的 程序 。 
在 软件 开发 阶段 ,程序 员 常 常会 在 软件 内 留 下 一 些 * 后 门 ” 以 方便 修改 程序 设计 中 的 问题 。 
但 如 果 这 些 后 门 被 其 他 人 知道 ,或 是 在 发 布 软件 之 前 没有 被 删除 掉 , 那 么 它 就 成 了 安全 风 
险 , 容 易 被 黑客 侵入 。 后 门 程序 一 般 带 有 backdoor 字样 , 它 与 电脑 病毒 最 大 的 差别 在 于 : 
后 门 程序 不 一 定 有 自我 复制 的 动作 , 即 它 不 一 定 会 “感染 ”其 他 电脑 。 


2. 木马 


1) 木马 概述 

谈 到 木马 ,人 们 就 会 想到 病毒 ,但 它 与 传统 病毒 不 同 。 木 马 程序 是 一 种 恶意 代码 , 它 通 
常 并 不 像 传 统 病毒 那样 感染 文件 。 木 马 一 般 是 以 寻找 后 门 窃取 密码 和 重要 文件 为 主 , 还 可 
以 对 计算 机 进行 跟踪 监视 ,控制 ,查看 、 修 改 资料 等 操作 ,具有 很 强 的 隐蔽 性 、 突 发 性 和 攻 
击 性 。 

木马 是 一 种 带 有 恶意 性 质 的 远程 控制 软件 ,通常 悄悄 地 在 寄宿 主机 上 运行 ,在 用 户 毫 无 
察觉 的 情况 下 让 攻击 者 获得 了 远程 访问 和 控制 系统 的 权限 。 木 马 的 安装 和 操作 都 是 在 隐蔽 
之 中 完成 。 攻 击 者 经 常 把 木马 隐藏 在 一 些 游戏 或 小 软件 之 中 , 诱 使 粗心 的 用 户 在 自己 的 机 
器 上 和 运行。 最 常见 的 情况 是 ,上 当 的 用 户 要 么 从 不 正规 的 网 站 下 载 和 运行 了 带 恶 意 代码 的 
软件 ,要 么 不 小 心 点 击 了 带 恶 意 代码 的 邮件 附件 。 

木马 的 传播 方式 主要 有 三 种 : 一 种 是 通过 E-mail, 控 制 端 将 木马 程序 以 附件 形式 附着 
在 邮件 上 发 送出 去 , 收 件 人 只 要 打开 附件 就 会 感染 木马 ; 第 二 种 是 软件 下 载 , 一 些 非 正 式 的 
网 站 以 提供 软件 下 载 的 名 义 ,将 木马 捆绑 在 软件 安装 程序 上 ,程序 下 载 后 只 要 一 运行 这 些 程 
序 , 木 马 就 会 自动 安装 ; 第 三 种 是 通过 会 话 软件 (如 OICQ) 的 “传送 文件 ”进行 传播 ,不 知情 
的 网 友 一 旦 打开 带 有 木马 的 文件 就 会 感染 木马 。 

2) 木马 的 原理 

木马 程序 与 其 他 的 病毒 程序 一 样 的 是 都 需要 在 运行 时 隐藏 自己 的 行踪 。 但 与 传统 的 文 
件 型 病毒 寄生 于 正常 可 执行 程序 体内 ,通过 寄主 程序 的 执行 而 执行 的 方式 不 同 , 大 多 数 木马 
程序 都 有 一 个 独立 的 可 执行 文件 。 木 马 通常 不 容易 被 发 现 ,因为 它 一 般 是 以 一 个 正常 应 用 
的 身份 在 系统 中 运行 的 。 

木马 程序 一 般 包 括 客户 端 (Client) 部 分 和 服务 器 端 (Server) 部 分 ,也 采用 客户 机 /服务 
器 工作 模式 。 客 户 端 就 是 本 地 使 用 的 各 种 命令 的 控制 台 ,服务 器 端 则 是 要 给 别人 运行 ,只 有 
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运行 过 服务 器 端的 计算 机 才能 够 完全 受 控 。 客 户 端 放 在 木马 控制 者 的 计算 机 中 ,服务 器 端 
放置 在 被 入侵 的 计算 机 中 ,木马 控制 者 通过 客户 端 与 被 入侵 计算 机 的 服务 器 端 建立 远程 连 
接 。 一 旦 连接 建立 ,木马 控制 者 就 可 以 通过 对 被 入 侵 计 算 机 发 送 指 令 来 传输 和 修改 文件 。 
攻击 者 利用 一 种 称 为 绑 定 程序 的 工具 将 服务 器 部 分 绑 定 到 某 个 合法 软件 上 , 诱 使 用 户 运 行 
合法 软件 。 只 要 用 户 一 运行 该 软件 ,特洛伊 木马 的 服务 器 部 分 就 在 用 户 毫 无 知觉 的 情况 下 
完成 了 安装 过 程 。 通 常 ,特洛伊 木马 的 服务 器 部 分 都 是 可 以 定制 的 ,攻击 者 可 以 定制 的 项 目 
一 般 包 括 : 服务 器 运行 的 IP 端口 号 ,程序 启动 时 机 、 如 何 发 出 调用 、 如 何 隐身 、 是 否 加 密 等 。 
另外 ,攻击 者 还 可 以 设置 登录 服务 器 的 密码 ,确定 通信 方式 。 服 务 器 向 攻击 者 通知 的 方式 可 
能 是 发 送 一 个 E-mail, 宣 告 自己 当前 已 成 功 接管 机 器 ; 或 者 可 能 是 联系 某 个 隐藏 的 Internet 
交流 通道 ,广播 被 侵占 机 器 的 IP 地 址 ; 另外 , 当 特 洛 伊 木马 的 服务 器 部 分 启动 之 后 , 它 还 可 
以 直接 与 攻击 者 机 器 上 运行 的 客户 程序 通过 预先 定义 的 端口 进行 通信 。 不 管 特洛伊 木马 的 
服务 器 和 客户 程序 如 何 建立 联系 ,有 一 点 是 不 变 的 ,就 是 攻击 者 总 是 利用 客户 程序 向 服务 器 
程序 发 送 命令 ,达到 操控 用 户 机 器 的 目的 。 

3) 木马 的 危害 

大 多 数 网 络 用 户 对 木马 也 并 不 陌生 。 木 马 主要 以 网 络 为 依托 进行 传播 , 偷 取 用 户 隐私 
资料 是 其 主要 目的 , 且 这 些 木马 多 具有 引诱 性 与 欺骗 性 。 

木马 也 是 一 种 后 门 程序 , 它 会 在 用 户 的 计算 机 系统 里 打开 一 个 “后 门 ”, 黑 客 就 会 从 这 个 
被 打开 的 特定 “后 门 ? 进 入 系统 ,然后 就 可 以 随心 所 和 欲 地 操控 用 户 的 计算 机 了 。 如 果 要 问 黑 
客 通过 木马 进入 到 计算 机 里 后 能 够 做 什么 ,可 以 这 样 回答 : 用 户 能 够 在 自己 的 计算 机 上 做 
什么 , 它 就 同样 能 做 什么 。 它 可 以 读 、 写 . 存 \ 删 除 文件 ,可 以 得 到 用 户 的 隐私 .密码 ,甚至 用 
户 在 计算 机 上 鼠标 的 每 一 下 移动 , 它 都 能 尽 收 眼底 。 而 且 还 能 够 控制 用 户 的 鼠标 和 键盘 去 
做 他 想 做 的 任何 事 , 比 如 打开 用 户 珍 藏 的 好 友 照 片 ,然后 当面 将 它 永 久 删除 。 也 就 是 说 ,用 
户 的 一 台 计算 机 一 旦 感染 上 木马 , 它 就 变 成 了 一 台 倪 偶 机 ,对 方 可 以 在 用 户 的 计算 机 上 上 传 
下 载 文件 ,偷窥 私人 文件 , 偷 取 各 种 密码 及 口令 信息 等 。 感 染 了 木马 的 系统 用 户 的 一 切 秘密 
都 将 暴露 在 别人 面前 ,隐私 将 不 复 存在 。 

木马 控制 者 既 可 以 随心 所 和 欲 地 查看 已 被 和 人 侵 的 机 器 ,也 可 以 用 广播 方式 发 布 命令 ,指示 
所 有 在 它 控制 下 的 木马 一 起 行动 ,或 者 向 更 广泛 的 范围 传播 ,或 者 做 其 他 危险 的 事情 。 实 际 
上 ,只 要 用 一 个 预先 定义 好 的 关键 词 ,就 可 以 让 所 有 被 入 侵 的 机 器 格式 化 自己 的 硬盘 ,或 者 
向 另 一 台 主 机 发 起 攻击 。 攻 击 者 经 常会 用 木马 侵占 大 量 的 机 器 ,然后 针对 某 一 要 害 主机 发 
起 分 布 式 拒绝 服务 (DDoS) 攻 击 。 

4) 木马 的 预防 

目前 木马 已 对 电脑 用 户 信息 安全 构成 了 极 大 隐患 ,做 好 木马 的 防范 已 经 刻不容缓 。 用 
户 要 提高 对 木马 的 警惕 ,尤其 是 网 络 游戏 玩家 更 应 该 提高 对 木马 的 关注 。 

网 络 中 比较 流行 的 木马 程序 ,传播 速度 比较 快 ,影响 也 比较 严重 ,因此 尽管 我 们 掌握 了 
很 多 木马 的 检测 和 清除 方法 及 软件 工具 ,但 这 些 也 只 是 在 木马 出 现 后 被 动 的 应 对 措施 。 当 
然 最 好 的 情况 是 不 出 现 木马 ,这 就 要 求 我 们 平时 要 有 对 木马 的 预防 意识 和 措施 ,做 到 防 患 于 
未 然 。 以 下 是 几 种 简单 适用 的 木马 预防 方法 和 措施 : 

。 不 随意 打开 来 历 不 明 的 邮件 ,阻塞 可 疑 邮件 。 

。 不 随意 下 载 来 历 不 明 的 软件 。 
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及 时 修补 漏洞 和 关闭 可 疑 的 端口 。 
尽量 少 用 共享 文件 夹 。 
运行 实时 监控 程序 。 
经 常 升级 系统 和 更 新 病毒 库 。 

。 限制 使 用 不 必要 的 具有 传输 能 力 的 文件 。 

5) 木马 的 检测 和 清除 

可 以 通过 查看 系统 端口 开放 的 情况 、 系 统 服 务 情况 、 系 统 任务 运行 情况 、 网 卡 的 工作 情 
况 、 系 统 日 志 及 运行 速度 有 无 异常 等 对 木马 进行 检测 。 检 测 到 计算 机 感染 木马 后 ,就 要 根据 
木马 的 特征 来 进行 清除 。 查 看 是 否 有 可 疑 的 启动 程序 、 可 疑 的 进程 存在 ,是 否 修改 了 
win. ini、system. ini 系统 配置 文件 和 注册 表 。 如 果 存 在 可 疑 的 程序 和 进程 ,就 按照 特定 的 方 
法 进行 清除 。 

(1) 查看 开放 端口 

当前 最 为 常见 的 木马 通常 是 基于 TCP/UDP 协议 进行 客户 端 与 服务 器 端 之 间 的 通信 
的 。 因 此 ,可 以 通过 查看 在 本 机 上 开放 的 端口 ,看 是 否 有 可 疑 的 程序 打开 了 某 个 可 疑 的 端 
口 。 例 如 “冰河” 木马 使 用 的 监听 端口 是 7626,Back Orifice 2000 使 用 的 监听 端口 是 54320 
等 。 假 如 查看 到 有 可 疑 的 程序 在 利用 可 疑 端口 进行 连接 , 则 很 有 可 能 就 是 感染 了 木马 。 查 
看 端口 的 方法 通常 有 以 下 几 种 : 

。 使 用 Windows 本 身 自 带 的 netstat 命令 。 

。 使 用 Windows 2000 下 的 命令 行 工 具 fport。 

。 使 用 图 形 化 界面 工具 Active Ports。 

(2) 查看 和 恢复 win. ini 和 system. ini 系统 配置 文件 

查看 win. ini 和 system. ini 文件 是 否 有 被 修改 的 地 方 。 例 如 ,有 的 木马 通过 修改 
win ini 文件 中 Windows 节 的 “load 二 file. exe.run 二 file. exe” 语 句 进行 自动 加 载 ,还 可 能 修 
改 system. ini 中 的 boot 节 , 实 现 木 马 加 载 。 例 如 ,“ 妖 之 吻 ” 将 “Shell 二 Explorer, exe” 
(Windows 系统 的 图 形 界面 命令 解释 器 ) 修 改 成 “Shell= yzw. exe”, 在 计算 机 每 次 启动 后 就 
自动 运行 程序 yzw. exe; 可 以 把 system. ini 恢复 为 原始 配置 ,即将 “Shell 王 yzw. exe” 修 改 回 
“Shell 二 Explorer. exe”, 再 删除 掉 木 马 文 件 即 可 。 

(3) 查看 启动 程序 并 删除 可 疑 的 启动 程序 

如 果木 马 自 动 加 载 的 文件 是 直接 通过 在 Windows 菜单 上 自 定义 添加 的 ,一 般 都 会 放 在 
主 菜单 的 “开始 ”| 程序 ?|* 启 动 ? 处 。 通 过 这 种 方式 使 文件 自动 加 载 时 ,一 般 都 会 将 其 存放 
在 注册 表 中 下 述 4 个 位 置 上 : 

HKEY_CURRENT_ user\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders 

HKEY_CURRENT user\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders 

HKEY_ LOCAL machine\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders 

HKEY_LOCAL machine\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders 

检查 是 否 有 可 疑 的 启动 程序 , 便 很 容易 查 到 是 否 感染 了 木马 。 如 果 查 出 有 木马 存在 , 则 
除了 要 查 出 木马 文件 并 删除 外 ,还 要 将 木马 自动 启动 程序 删除 。 

(4) 查看 系统 进程 并 停止 可 疑 的 系统 进程 

即便 木马 再 狐 独 , 它 也 是 一 个 应 用 程序 ,需要 进程 来 执行 。 可 以 通过 查看 系统 进程 来 推 
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断 木 马 是 否 存在 。 在 Windows NT/XP 系统 下 , 按 下 Ctrl 十 Alt 十 Del 进入 任务 管理 器 ,就 可 
看 到 系统 正在 运行 的 全 部 进程 。 在 查看 进程 中 ,如 果 你 对 系统 非常 熟悉 ,对 每 个 系统 运行 的 
进程 知道 它 是 做 什么 的 ,那么 在 木马 运行 时 ,你 就 能 很 容易 看 出 来 哪个 是 木马 程序 的 活动 进 
程 了 。 

在 对 木马 进行 清除 时 ,首先 要 停止 木马 程序 的 系统 进程 。 例 如 , Hack. Rbot 除了 将 自 
身 拷贝 到 一 些 固定 的 Windows 自 启动 项 中 外 ,还 在 进程 中 运行 wuamgrd. exe 程序 ,修改 了 
注册 表 , 以 便 自己 可 随时 自 启动 。 在 看 到 有 木马 程序 运行 时 ,需要 马上 停止 系统 进程 ,并 进 
行 下 一 步 操 作 , 修 改 注册 表 和 清除 木马 文件 。 

(5) 查看 和 还 原 注册 表 

木马 一 旦 被 加 载 , 一 般 都 会 对 注册 表 进行 修改 。 通 常 ,木马 一 般 在 注册 表 中 的 以 下 地 方 
实现 加 载 文件 : 

HKEY_LOCAL MACHINE\Software\Microsoft\Nindows\CurrentVersion\Run 

HKEY_LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce 

HKEY_LOCAL _ MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 

HKEY_LOCAL MACHINE\Software\Microsoft\Nindows\CurrentVersion\RunServicesOnce 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\RunOnce 

HKEY_CURRENT_USER\Software\Microsoft\WNindows\CurrentVersion\RunServices 

此 外 ,在 注册 表 中 的 HKEY_CLASSES_ROOT\exefile\shell\open\command 二 ""% 
1"% x* "处 ,如 果 其 中 的 "%1" 被 修改 为 木马 ,那么 每 启动 一 次 该 可 执行 文件 时 木马 就 会 启动 
= 

查看 注册 表 , 将 注册 表 中 木马 修改 的 部 分 还 原 。 例 如 ,Hack. Rbot 病毒 已 向 注册 表 的 
有 关 目 录 中 添加 键 值 "MicrosoftUpdate" 二 "wuamgrd. exe" ,以 便 自己 可 随机 自 启动 。 这 就 
需要 先进 入 注册 表 , 将 键 值 "MicrosoftUpdate" 二 "wuamgrd. exe" 删 除 掉 。 注 意 : 可 能 有 些 
木马 会 不 允许 执行 . exe 文件 ,这 样 就 要 先 将 regedit. exe 改 成 系统 能 够 运行 的 形式 ,比如 可 
以 改 成 regedit. com。 

(6) 使 用 杀毒 软件 和 木马 查 杀 工 具 检 测 和 清除 木马 

最 简单 的 检测 和 删除 木马 的 方法 是 安装 木马 查 杀 软件 。 常 用 的 木马 查 杀 工具 ,如 
KV 3000 瑞星 、TheCleaner、 木 马克 星 、 木 马 终结 者 等 ,都 可 以 进行 木马 的 检测 和 查 杀 。 此 
外 ,用 户 还 可 使 用 其 他 木马 查 杀 工 具 对 木马 进行 查 杀 。 

多 数 情况 下 由 于 杀毒 软件 和 查 杀 工具 的 升级 慢 于 木马 的 出 现 ,因此 学 会 手工 查 杀 木 马 
非常 必要 。 手 工 查 杀 木 马 的 方法 如 下 : 

。 检查 注册 表 。 看 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\ 
Curren Version 和 HKEY_CURRENT_USERA\ Software\ Microsoft\ Windows\ 
CurrentVersion 下 所 有 以 “Run” 开 头 的 键 值 名 下 有 没有 可 疑 的 文件 名 。 如 果 有 ,就 
需要 删除 相应 的 键 值 . 再 删除 相应 的 应 用 程序 。 
检查 启动 组 。 虽然 启动 组 不 是 十 分 隐蔽 ,但 这 里 的 确 是 自动 加 载运 行 的 好 场所 ， 
此 可 能 有 木马 在 这 里 隐藏 。 启 动 组 对 应 的 文件 夹 为 C: \windows\ startmenu\ 
programsNstartup ,要 注意 经 常 对 其 进行 检查 ,发现 木 马 ,及 时 清除 。 

。 Win. ini 以 及 System. ini 也 是 木马 喜欢 的 隐蔽 场所 ,要 注意 这 些 地 方 。 比 如 在 正常 
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情况 下 Win. ini 的 Windows 小 节 下 的 load 和 run 后 面 没有 跟 什 么 程序 ,在 这 里 如 
果 发 现 有 程序 就 要 小 心 了 , 它 很 有 可 能 是 木马 服务 端 程序 ,尽快 对 其 进行 检查 并 


马 也 很 可 能 隐藏 在 这 里 。 

。 如 果 是 由 . exe 文件 启动 ,那么 运行 该 程序 ,看 木马 是 否 被 装 人 内 存 ,端口 是 否 打 开 。 
如 果 是 , 则 说 明 要 么 是 该 文件 启动 了 木马 程序 ,要 么 是 该 文件 捆绑 了 木马 程序 。 只 
好 将 其 删除 ,再 重新 安装 一 个 这 样 的 程序 。 


3. 蠕虫 


1) 蠕虫 概述 

蠕虫 是 一 种 可 以 自我 复制 的 完全 独立 的 程序 ,其 传播 不 需要 借助 被 感染 主机 中 的 其 他 
程序 。 蠕 虫 的 自我 复制 可 以 自动 创建 与 自身 功能 完全 相同 的 副本 ,并 在 没 人 干涉 的 情况 下 
自动 运行 。 蠕 虫 是 通过 系统 中 存在 的 漏洞 和 设置 的 不 安全 性 进行 入 侵 的 。 它 的 自身 特性 可 
以 使 其 以 极 快 的 速度 传播 。 

网 络 蠕虫 ,作为 对 互联 网 危害 严重 的 一 种 计算 机 程序 ,其 破坏 力 和 传染 性 不 容 忽视 。 与 
传统 病毒 不 同 ,蠕虫 以 计算 机 为 载体 ,以 网 络 为 攻击 对 象 。 

蠕虫 是 一 种 通过 网 络 传播 的 恶性 代码 , 它 具 有 普通 病毒 的 传播 性 、 隐 项 性 和 破坏 性 ,但 
与 普通 病毒 也 有 很 大 区 别 , 它 具有 一 些 自己 的 特征 ,如 不 利用 文件 寄生 、 可 对 网 络 造成 拒绝 
服务 ,与 黑客 技术 相 结 合 等 。 蠕 虫 的 传染 目标 是 网 络 内 的 所 有 计算 机 。 在 破坏 性 上 ,蠕虫 也 
比 普通 病毒 强大 很 多 。 

根据 使 用 者 情况 的 不 同 可 将 蠕虫 分 为 面向 企业 用 户 的 蠕虫 和 面向 个 人 用 户 的 蠕虫 两 
类 。 面 向 企业 用 户 的 蠕虫 利用 系统 漏洞 .主动 进行 攻击 ,可 能 对 整个 网 络 造成 瘫痪 性 的 后 
果 , 这 一 类 蠕虫 以 “红色 代码 ”“ 尼 姆 达 ”“Slmmar” 为 代表 ; 面向 个 人 用 户 的 蠕虫 通过 网 络 
(主要 是 电子 邮件 、 恶 意 网 页 形式 等 ) 迅 速 传 播 , 以 “ 爱 虫 "“ 求 职 信 ”蠕虫 为 代表 。 

漏洞 蠕虫 可 利用 微软 的 几 个 系统 漏洞 进行 传播 ,如 SQL 漏洞 .RPC 漏洞 和 LSASS 漏 
洞 ,其 中 RPC 漏洞 和 LSASS 漏洞 最 为 严重 。 漏 洞 蠕虫 极 具 危 害 性 ,大 量 的 攻击 数据 堵塞 网 
络 , 并 可 造成 被 攻击 系统 不 断 重 启 、 系 统 速度 变 慢 等 现象 。 漏 洞 蠕虫 的 特性 与 黑客 特性 集成 
到 一 起 ,造成 的 危害 就 更 大 了 。 蠕 虫 多 以 系统 漏洞 进行 攻击 与 破坏 ,在 网 络 中 通过 攻击 系统 
漏洞 从 而 再 复制 与 传播 自己 。 反 病毒 专家 介绍 ,每 当 企业 感染 了 蠕虫 后 都 非常 难以 清除 , 需 
要 拔 掉 网 线 后 将 每 台 机 器 都 查 杀 干 净 。 如 果 网 络 中 有 一 台 机 器 受到 漏洞 蠕虫 病毒 攻击 , 那 
么 整个 网 络 将 陷 人 蠕虫 “泥潭 "中 。 冲 击 波 、 震 荡 波 蠕 虫 就 是 典型 的 例子 。 

电子 邮件 蠕虫 主要 通过 邮件 进行 传播 。 邮 件 蠕 虫 使 用 自己 的 SMTP 引擎 ,将 病毒 邮件 
发 送 给 搜索 到 的 邮件 地 址 。 有 时 候 我 们 会 发 现 同事 或 好 友 重 复 不 断 地 发 来 各 种 英文 主题 的 
邮件 ,这 就 是 感染 了 邮件 蠕虫 。 邮 件 蠕虫 还 能 利用 IE 漏洞 ,使 用 户 在 没有 打开 附件 的 情况 
下 感染 病毒 。MYDOOM 蠕虫 变种 AH 能 利用 IE 漏洞 ,使 病毒 邮件 不 再 需要 附件 就 可 感 
染 用 户 。 

2) 蠕虫 的 传播 和 危害 

局 域 网 条 件 下 的 共享 文件 夹 . 电 子 邮 件 和 网 络 中 的 恶意 网 页 大量 存在 着 漏洞 的 服务 器 
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等 都 成 为 蠕虫 传播 的 途径 。 网 络 的 发 展 也 使 得 蠕虫 可 以 在 几 个 小 时 内 蔓延 到 全 球 , 而 且 蜘 
虫 的 主动 攻击 性 和 突然 爆发 性 将 使 得 人 们 惊慌 失措 。 
蠕虫 程序 的 一 般 传播 过 程 为 : 
。 扫描 。 由 蠕虫 的 扫描 功能 模块 负责 收集 目标 主机 的 信息 ,寻找 可 利用 的 漏洞 或 弱 
点 。 当 程序 向 某 个 主机 发 送 探 测 漏洞 的 信息 并 收 到 成 功 的 反馈 信息 后 ,就 得 到 一 个 
可 传播 的 对 象 。 扫 描 采 用 的 技术 方法 包括 用 扫描 器 扫描 主机 ,探测 主机 的 操作 系统 
类 型 .主机 名 、 用 户 名 、 开 放 的 端口 .开放 的 服务 、 开 放 的 服务 器 软件 版 本 等 。 
。 攻击 。 攻 击 模块 按 步骤 自动 攻击 扫描 中 找到 的 对 象 ,取得 该 主机 的 权限 (一 般 为 管 
理 员 权 限 ) ,获得 一 个 shell。 

。 复 制 。 复 制 模块 通过 原 主 机 和 新 主机 的 交互 将 蠕虫 程序 复制 到 新 主机 中 并 启动 。 

由 此 可 见 ,实际 上 传播 模块 实现 的 是 自动 人 侵 的 功能 ,蠕虫 采用 的 是 自动 入 侵 技术 ,由 
于 受 程序 大 小 的 限制 ,自动 人 侵 程序 不 可 能 有 太 强 的 智能 性 ,所 以 自动 人 侵 一 般 都 采用 某 种 
特定 的 模式 。 目 前 蠕虫 使 用 的 入 侵 模 式 就 是 : 扫描 漏洞 一 攻击 并 获得 shell 习 利用 shell。 
这 种 入 侵 模式 也 就 是 现在 蠕虫 常用 的 传播 模式 。 

1988 年 一 个 由 美国 一 所 大 学 研究 生 英里 斯 编写 的 蠕虫 蔓延 造成 了 数 千 台 计算 机 停机 ， 
蠕虫 开始 现 身 网 络 , 而 后 来 的 红色 代码 、 尼 姆 达 蠕 虫 疯 狂 的 时 候 , 造 成 几 十 亿美 元 的 损失 。 
2003 年 初 , 一 种 名 为 “Slammar” 的 蠕虫 迅速 传播 并 袭击 了 全 球 ,致使 互联 网 网 路 严重 堵塞 ， 
作为 互联 网 主要 基础 的 域名 服务 器 (DNS) 受 侵袭 造成 网 民 浏览 互联 网 网 页 及 收发 电子 邮 
件 的 速度 大 幅 降低 ,同时 银行 ATM 的 运行 中 断 ,网 络 机 票 预订 系统 运行 中 断 , 信 用 卡 收 付 
款 系统 出 现 故 障 等 。 专 家 估计 ,此 次 蠕虫 造成 的 直接 经 济 损失 至 少 在 26 亿美 元 以 上 。2004 
年 5 月 出 现 的 “震荡 波 ” 蠕 虫 ,破坏 性 超过 2003 年 8 月 的 “冲击 波 ” 病 毒 ,全 球 各 地 上 百 万 用 
户 遭 到 攻击 ,并 造成 重大 损失 。 

3) 蠕虫 的 特点 

通过 以 上 对 蠕虫 的 分 析 ,可 见 蠕 虫 具有 以 下 特点 : 

。 传播 迅速 ,难以 清除 。 

。 利用 操作 系统 和 应 用 程序 的 漏洞 主动 进行 攻击 。 

。 传播 方式 多 样 化 。 

。 蠕虫 制作 技术 与 传统 的 病毒 不 同 。 

。 与 黑客 技术 相 结 合 。 

4) 蠕虫 的 分 析 和 防范 

与 普通 病毒 不 同 的 一 个 特征 就 是 蠕虫 能 利用 漏洞 进行 传播 和 攻击 。 这 里 所 说 的 漏洞 主 
要 是 软件 缺陷 和 人 为 缺陷 。 软 件 缺 陷 , 如 远程 溢出 微软 IE 和 Outlook 的 自动 执行 漏洞 等 ， 
需要 软件 厂商 和 用 户 共 同 配 合 ,不 断 地 升级 软件 而 解决 。 人 为 缺陷 主要 是 指 计算 机 用 户 的 
下 忽 。 这 就 是 所 谓 的 社会 工程 学 , 当 收 到 一 封 带 着 病毒 的 求职 信和 邮件 时 ,大 多 数 人 都 会 去 点 
击 。 对 于 企业 用 户 来 说 ,威胁 主要 集中 在 服务 器 和 大 型 应 用 软件 上 ; 而 对 于 个 人 用 户 来 说 ， 
主要 是 防范 人 为 缺陷 。 

(1) 企业 类 蠕虫 的 防范 

虽然 Slammar 蠕虫 利用 的 漏洞 时 已 有 详细 说 明 , 而 且 微软 也 提供 了 安全 补丁 程序 ,但 
是 在 蠕虫 发 作 时 还 有 相当 多 一 部 分 服务 器 没有 安装 最 新 的 补丁 ,其 网 络 管理 员 的 安全 防范 
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意识 可 见 一 斑 。 当 前 ,企业 网 络 主要 应 用 于 文件 和 打印 服务 共享 \ 办公 自 动 化 系统 企业 管 
理 信息 系统 (MIS) ,Internet 应 用 等 领域 。 网 络 具 有 便利 的 信息 交换 特性 ,蠕虫 就 可 能 充分 
利用 网 络 快 速 传 播 达到 其 阻塞 网 络 的 目的 。 企业 在 充分 利用 网 络 进 行业 务 处 理 时 ,要 考虑 
病毒 防范 问题 ,以 保证 关系 企业 命运 的 业务 数据 的 完整 性 和 可 用 性 。 

企业 防治 蠕虫 需要 考虑 对 蠕虫 的 查 杀 能 力 、 病 毒 的 监控 能 力 和 对 新 病毒 的 反应 能 力 等 
问题 。 而 企业 防毒 的 一 个 重要 方面 就 是 管理 策略 。 现 建议 企业 防范 蠕虫 的 策略 如 下 : 

。 加 强 网 络 管理 员 安 全 管理 水 平 ,提高 安全 意识 。 由 于 蠕虫 利用 的 是 系统 漏洞 ,所 以 
需要 在 第 一 时 间 内 保持 系统 和 应 用 软件 的 安全 性 ,保持 各 种 操作 系统 和 应 用 软件 的 
更 新 。 由 于 各 种 漏洞 的 出 现 ,使 得 安全 问题 不 再 是 一 劳 永 逸 的 事 , 而 作为 企业 用 户 
而 言 , 所 经 受 攻击 的 危险 也 是 越 来 越 大 ,要 求 企业 的 管理 水 平和 安全 意识 也 越 来 
越 高 。 
建立 对 蠕虫 的 检测 系统 。 能 够 在 第 一 时 间 内 检测 到 网 络 的 异常 和 蠕虫 攻击 。 
建立 应 急 响 应 系统 。 将 风险 减少 到 最 低 。 由 于 蠕虫 爆发 的 突然 性 ,可 能 在 发 现 的 时 
候 已 经 草 延 到 了 整个 网 络 ,所 以 建立 一 个 紧急 响应 系统 是 很 有 必要 的 ,在 蠕虫 爆发 
的 第 一 时 间 即 能 提供 解决 方案 。 
建立 备份 和 容 灾 系统 。 对 于 数据 库 和 数据 系统 ,必须 采用 定期 备份 .多 机 备份 和 容 
灾 等 措施 ,防止 意外 灾难 下 的 数据 丢失 。 

(2) 个 人 用 户 蠕虫 的 分 析 和 防范 

对 于 个 人 用 户 而 言 ,威胁 大 的 蠕虫 一 般 采 取 电 子 邮件 和 恶意 网 页 传播 方式 。 这 些 蠕虫 
对 个 人 用 户 的 威胁 最 大 ,同时 也 最 难以 根除 ,造成 的 损失 也 很 大 。 利 用 电子 邮件 传播 的 蠕虫 
通常 利用 的 是 社会 工程 学 欺骗 , 即 以 各 种 各 样 的 欺骗 手段 诱惑 用 户 点 击 的 方式 进行 传播 。 

该 类 蠕虫 对 个 人 用 户 的 攻击 主要 还 是 通过 社会 工程 学 ,而 不 是 利用 系统 漏洞 ,所 以 防范 
此 类 蠕虫 需要 从 以 下 几 点 入 手 : 

。 提高 防 杀 恶意 代码 的 意识 。 

。 购买 正版 的 防 病毒 (蠕虫 ) 软 件 。 

经 常 升级 病毒 库 。 
。 不 随意 查看 陌生 邮件 ,尤其 是 带 有 附件 的 邮件 。 


4. 计算 机 病毒 的 现状 和 发 展 趋势 


(1) 计算 机 病毒 的 现状 

据 估计 ,目前 流行 的 病毒 有 10 万 多 种 ,每 个 月 新 产生 的 病毒 有 儿 百 种 。 现 在 的 恶意 代 
码 基本 上 都 可 以 说 是 高 智商 的 ,不 仅仅 是 生命 力 闫 强 .而且 发 作 的 时 机 都 掌握 的 很 好 。 

2004 年 6 月 ,手机 病毒 Cabir 被 发 现 ,并 在 欧洲 掀起 了 波澜 。 随 后 ,瑞星 在 8 月 截获 了 
“ 布 若 达 (Backdoor. Wince. Brador. a)”, 手 机 病毒 正 被 人 们 逐渐 关注 和 警惕 着 。 

手机 病毒 主要 是 通过 短信 、 下 载 文件 ,红外 、 蓝 牙 等 无 线 网 络 连 接 方 式 进行 传播 。 而 手 
机 也 会 因为 中 了 病毒 而 出 现 死机 、 电 话 簿 丢失 等 意外 情况 。 手 机 病毒 也 会 对 各 种 移动 设备 
产生 类 似 的 破坏 作用 。2004 年 利用 手机 无 线 传送 功能 传播 的 病毒 同比 增加 了 80% ,通过 手 
机 操作 系统 扩散 的 病毒 增加 了 25%, 利 用 短信 彩信 传播 的 手机 病毒 增加 了 48% 。 

手机 病毒 与 传统 病毒 的 区 别 在 于 : 手机 病毒 利用 了 手机 的 “无 线 ” 扩 展 功 能 进行 传播 。 
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反 病 毒 专家 说 ,计算 机 是 智能 手机 病毒 扩散 的 源头 ,任何 手机 病毒 都 要 通过 计算 机 进行 
编写 。 

多 元 化 的 即时 通信 软件 的 出 现 方便 了 人 们 进行 网 络 间 的 互相 沟通 ,即时 通信 软件 集合 
了 多 重 最 新 的 功能 ,如 视频 .音频 的 交互 ,接收 、 发 送 电子 邮件 和 单机 文件 等 。 即 时 通信 软件 
高 速 发 展 的 同时 ,黑客 们 也 开始 注意 到 了 这 个 领域 ,他 们 不 会 轻易 放 掉 任何 可 以 利用 的 机 
会 ,于 是 即时 通信 软件 成 了 黑客 演习 各 种 新 式 武器 的 活 靶 子 。 黑 客 利用 即时 通信 软件 覆盖 
面 广 、 使 用 人 数 众 多 ,传播 速度 快 的 优势 ,制造 出 大 量 新 颖 的 恶意 代码 以 及 攻击 模式 。 

(2) 计算 机 病毒 的 发 展 趋势 

反 病 毒 专家 认为 , 随 着 宽带 用 户 的 增多 , 越 来 越 多 的 用 户 深 受 网 络 蠕虫 .操作 系统 漏洞 
病毒 和 木马 的 危害 。 现 阶段 ,网 络 蠕虫 不 仅 具 有 针对 邮件 和 系统 漏洞 大 量 传播 的 特性 ,还 融 
入 了 木马 特征 ,而 木马 又 与 黑客 攻击 密 不 可 分 。 如 ”* 灾 飞 ? 病 毒 , 它 不 仅 具备 网 络 蠕虫 的 特 
征 ,还 具有 木马 给 系统 开 后 门 的 特征 。 如 今 ,一 些 恶性 病毒 不 仅 会 对 互联 网 造成 严重 威胁 ， 
还 可 盗 取 个 人 、 企 业 用 户 的 隐私 和 商业 信息 。 

现在 流行 的 病毒 已 经 表现 出 与 传统 病毒 不 同 的 特征 和 发 展 趋势 ,改变 了 传统 病毒 在 人 
们 脑海 中 的 印象 。 以 往 人 们 认为 病毒 的 传播 和 破坏 是 被 动 式 的 ,只 要 不 使 用 盗版 光盘 ,不 打 
开 来 历 不 明 的 邮件 ,不 下 载 一 些 危险 程序 ,一般 是 不 会 感染 病毒 的 。 而 现在 ,各 种 病毒 无 一 
例外 地 与 网 络 结合 ,并 都 具有 多 种 攻击 手段 。 用 户 即 使 什么 也 不 做 ,病毒 也 会 利用 Internet 
和 一 些 网 络 系统 漏洞 (如 操作 系统 漏洞 ) 感 染 用 户 系统 。 在 今后 一 段 时 间 里 ,利用 互联 网 即 
时 通信 软件 传播 的 病毒 还 有 更 进一步 发 展 的 趋势 。 

反 病 毒 专家 认为 ,计算 机 实时 在 线 给 网 络 蠕虫 .系统 漏洞 ,木马 等 病毒 提供 了 条 件 ,宽带 
网 络 的 发 展 为 新 型 病毒 的 传播 与 破坏 提供 了 绝 佳 机 会 。 宽 带 越 “ 宽 ”, 直 接 导致 木马 .间谍 软 
件 ,垃圾 邮件 、 网 页 恶意 程序 等 病毒 的 传播 速度 越 司 人。 没有 强大 的 网 络 安全 解决 方案 ， 宽 
带 应 用 "就 将 非常 容易 被 病毒 .黑客 所 攻击 。 

现在 的 计算 机 病毒 已 经 由 从 前 的 单一 传播 . 单 种 行为 变 成 依赖 Internet 传播 , 集 电子 邮 
件 .文件 传染 等 多 种 传播 方式 , 融 木马 .黑客 等 多 种 攻击 手段 于 一 身 , 形 成 一 种 广义 的 “新 病 
毒 ”。 根 据 这 些 病毒 的 发 展演 变 , 可 预见 未 来 的 计算 机 病毒 可 能 具有 如 下 发 展 趋势 

。 病毒 的 网 络 化 。 病 毒 与 Internet 和 Intranet 更 紧密 地 结合 .利用 Internet 上 一 切 可 
以 利用 的 方式 进行 传播 ,如 邮件 、 局 域 网 .远程 管理 .实时 通信 工具 等 。 
病毒 功能 的 综合 化 。 新 型 病毒 集 传统 病毒 .蠕虫 .木马 .黑客 程序 特点 于 一 身 , 破 坏 
性 大 大 加 强 。 
传播 途径 的 多 样 化 。 病 毒 通过 网 络 共享 、 网 络 漏洞 网络 浏览 .电子 邮件 、 即 时 通信 
软件 等 途径 传播 。 
病毒 的 多 平台 化 。 目 前 ,各 种 常用 的 操作 系统 平台 均 已 发 现 病毒 ,第 一 个 跨 
Windows 和 Linux 平 台 的 病毒 Winux 也 于 几 年 前 出 现 , 跨 各 种 新 型 平台 的 病毒 也 
会 推出 和 普及 。 手 机 和 PDA 等 移动 设备 病毒 已 出 现 ,还 将 有 更 大 的 发 展 。 

反 病 毒 专家 称 , 带 有 黑客 性 质 的 病毒 的 全 面 爆 发 和 网 络 黑客 越 来 越 频 繁 地 对 用 户 发 起 
攻击 ,使 人 们 面临 的 信息 安全 问题 进入 了 “后 病毒 时 代 ”。 对 “后 病毒 时 代 ” 最 概括 的 描述 就 
是 黑客 的 攻击 目标 从 大 网 站 、 大 商业 机 构 和 政府 机 关 扩展 到 了 普通 的 电脑 用 户 。 在 “后 病毒 
时 代 ”, 病 毒 与 黑客 将 紧密 地 结合 在 一 起 ,共同 向 现 有 的 信息 安全 发 起 攻击 。 其 中 最 重要 的 
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一 个 趋势 就 是 黑客 借助 于 病毒 的 广泛 和 迅速 传播 特性 ,把 黑客 攻击 手段 从 以 前 的 一 对 一 攻 
击 变 成 了 一 对 多 攻击 模式 。 


72 黑客 与 网 络 攻击 


提起 黑客 ,总 是 给 人 一 种 神秘 莫 测 的 感觉 。 在 人 们 眼中 ,黑客 是 一 群 精通 计算 机 操作 系 
统 和 编程 语言 方面 的 技术 ,具有 硬件 和 软件 的 高 级 知识 ,能 发 现 系 统 中 存在 安全 漏洞 的 人 ， 
他 们 经 常 使 用 入 侵 计 算 机 系统 的 基本 技巧 ,如 破解 口令 (password cracking)、 开 天 窗 
(trapdoor) .走后门 (backdoor) .安放 木马 (Trojan horse) 等 ,未 经 允许 地 侵入 他 人 的 计算 机 
系统 ,窥视 他 人 的 隐私 、 窃 取 密 码 或 故意 破坏 他 人 系统 ,因此 黑客 也 被 称 为 和 人 侵 者 。 黑 客 可 
强行 闻 入 远程 系统 或 恶意 干扰 远程 系统 的 工作 ,通过 非 授权 的 访问 权限 ,盗窃 系 统 的 重要 数 
据 , 破 坏 系 统 的 完整 性 和 可 用 性 ,干扰 系统 的 正常 工作 。 


721 网 络 攻 击 的 类 型 


任何 以 干扰 破坏 网 络 系统 为 目的 的 非 授权 行为 都 被 称 为 网 络 攻击 。 黑 客 进行 的 网 络 攻 
击 通常 可 归纳 为 拒绝 服务 型 攻击 `. 利 用 型 攻击 .信息 收集 型 攻击 和 虚假 信息 型 攻击 四 大 类 型 。 


1. 拒绝 服务 型 攻击 


拒绝 服务 (DoS) 攻 击 是 攻击 者 通过 各 种 手段 来 消耗 网 络 带宽 或 服务 器 的 系统 资源 ,最 
终 导致 被 攻击 服务 器 资源 耗 尽 或 系统 崩溃 而 无 法 提供 正常 的 网 络 服务 。 这 种 攻击 对 服务 器 
来 说 ,可 能 并 没有 造成 损害 ,但 可 以 使 人 们 对 被 攻击 服务 器 所 提供 服务 的 信任 度 下 降 ,影响 
公司 声誉 以 及 用 户 对 网 络 的 使 用 。 

TCP 是 一 个 面向 连接 的 协议 ,在 网 络 中 广泛 应 用 。 因 此 ,黑客 也 会 利用 TCP 协议 自身 
的 漏洞 进行 攻击 ,影响 网 络 中 运行 的 绝 大 多 数 服务 器 。 

具体 的 DoS 攻击 方式 有 SYN Flood( 洪 泛 ) 攻 击 、IP 碎片 攻击 \Smurf 攻击 .死亡 之 ping 
攻击 、 泪 滴 (teardrop) 攻 击 `UDP Flood(UDP 洪 泛 ) 攻 击 、Fraggle 攻击 等 。 


2. 利用 型 攻击 


利用 型 攻击 是 一 类 试图 直接 对 用 户 机 器 进行 控制 的 攻击 。 最 常见 的 利用 型 攻击 有 三 种 : 

(1) 口令 猜测 。 一 旦 黑客 识别 了 一 台 主 机 而 且 发 现 了 基于 NetBIOS .Telnet 或 NFS 服 
务 的 可 利用 的 用 户 账号 ,成 功 的 口令 猜测 能 提供 对 机 器 的 控制 。 

(2) 特洛伊 木马 。 木 马 是 一 种 直接 由 黑客 或 通过 用 户 秘密 安装 到 目标 系统 的 程序 。 木 
马 一 旦 安装 成 功 并 取得 管理 员 权限 ,安装 此 程序 的 人 就 可 以 直接 远程 控制 目标 系统 。 最 常 
见 的 一 种 木马 叫做 后 门 程序 。 采 取 不 下 载 可 疑 程 序 并 拒绝 执行 ,运用 网 络 扫描 软件 定期 监 
视 内 部 主机 上 的 TCP 服务 等 措施 可 预防 该 攻击 。 

(3) 缓冲 区 溢出 。 由 于 在 很 多 的 服务 程序 中 麻痹 大 意 的 程序 员 使 用 类 似 strcpy()、 
strcat() 等 不 进行 有 效 位 检查 的 函数 ,最 终 可 能 导致 恶意 用 户 编写 一 小 段 程序 来 进一步 打开 
安全 溃 口 ,然后 将 该 代码 级 在 缓冲 区 中 的 有 效 载荷 末尾 。 当 发 生 缓冲 区 溢出 时 ,返回 指针 指 
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向 恶意 代码 ,这样 系统 的 控制 权 就 会 被 夺取 。 
3. 信息 收集 型 攻击 


信息 收集 型 攻击 是 被 用 来 为 进一步 人 侵 系 统 提供 有 用 的 信息 。 这 类 攻击 主要 包括 扫描 
技术 和 利用 信息 服务 技术 等 ,其 具体 实现 为 : 

(1) 地 址 扫描 。 运 用 ping 程序 探测 目标 地 址 , 若 对 此 做 出 响应 , 则 表示 其 存在 。 在 防 
火 墙 上 过 滤 掉 ICMP 应 答 消息 可 预防 该 攻击 。 

(2) 端口 扫描 。 通 常 使 用 一 些 软 件 ,向 大 范围 的 主机 连接 一 系列 的 TCP 端口 。 扫 描 软 
件 可 报告 它 成 功 地 建立 了 连接 的 主机 开放 端口 。 许 多 防火 墙 能 检测 到 系统 是 否 被 扫描 ,并 
自动 阻 断 扫描 企图 。 

(3) 反 向 映射 。 黑 客 向 主机 发 送 虚 假 消 息 , 然 后 根据 返回 “hostunreachable” 这 一 消息 
特征 判断 出 哪些 主机 正在 工作 。 由 于 正常 的 扫描 活动 容易 被 防火 墙 侦 测 到 ,黑客 转 而 使 用 
不 会 触发 防火 墙 规则 的 常见 消息 类 型 。NAT 和 非 路 由 代理 服务 器 能 自动 抵御 此 类 攻击 ， 
也 可 在 防火 墙 上 过 滤 “hostunreachable”*ICMP 应 答 。 

(4) DNS 域 转换 。DNS 协议 不 对 转换 或 信息 的 更 新 进行 身份 认证 ,这 使 得 该 协议 可 以 
不 同方 式 被 利用 。 对 于 一 台 公 共 DNS 服务 器 ,黑客 只 需 实 施 一 次 DNS 域 转换 操作 就 能 得 
到 所 有 主机 的 名 称 以 及 内 部 IP 地 址 。 可 采用 防火 墙 过 滤 掉 域 转换 请 求 来 避免 这 类 攻击 。 

(5) Finger 服务 。 黑 客 可 使 用 Finger 命令 来 刺探 Finger 服务 器 以 获取 关于 该 系统 的 
用 户 信 息 。 采 取 关 闭 Finger 服务 并 记录 尝试 连接 该 服务 的 对 方 IP 地 址 ,或 者 在 防火 墙 上 
进行 过 滤 ,这 样 可 预防 该 服务 攻击 。 


4. 虚假 信息 型 攻击 
虚假 信息 型 攻击 用 于 攻击 目标 配置 不 正确 的 消息 ,主要 有 高 速 缓存 污染 和 伪造 电子 邮 
件 两 种 形式 。 


(1) DNS 高 速 缓存 污染 。 由 于 DNS 服务 器 与 其 他 域名 服务 器 交换 信息 时 并 不 进行 身 
份 验证 ,这 就 使 得 黑客 可 以 将 一 些 虚 假 信息 摊 入 .并 把 用 户 引 向 黑客 自己 的 主机 。 可 采取 在 
防火 墙 上 过 滤 入 站 的 DNS 更 新 ,外 部 DNS 服务 器 不 能 更 改 内 部 服务 器 对 内 部 机 器 的 认识 
等 措施 预防 该 攻击 。 

(2) 伪造 电子 邮件 。 由 于 SMTP 并 不 对 邮件 发 送 者 的 身份 进行 鉴定 ,因此 黑客 可 以 对 
网 络 内 部 客户 伪造 电子 邮件 ,声称 是 来 自 某 个 客户 认识 并 相信 的 人 ,并 附带 上 可 安装 的 木马 
程序 ,或 者 是 一 个 引 向 恶意 网 站 的 连接 。 采 用 PGP 等 安全 工具 或 电子 邮件 证 书 对 邮件 发 送 
者 进行 身份 鉴别 措施 可 预防 该 攻击 。 


722 黑客 攻击 的 目的 .手段 和 工具 


1 黑客 攻击 的 目的 


黑客 攻击 网 络 系统 的 目的 通常 有 以 下 几 种 : 
。 对 系统 的 非法 访问 。 
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。 获 取 所 需 信息 ,包括 科技 情报 、 个 人 资料 ,金融 账户 \ 信 用 卡 密码 及 系统 信息 等 。 
。 算 改 .删除 或 暴露 数据 资料 ,达到 非法 目的 。 

。 获 取 超 级 用 户 权 限 。 

。 利 用 系统 资源 ,对 其 他 目标 进行 攻击 发 布 虚 假 信息 、 占 用 存储 空间 等 。 

。 拒绝 服务 。 


2. 黑客 攻击 的 手段 和 工具 


为 了 把 损失 降低 到 最 低 限 度 ,我 们 一 定 要 有 安全 观念 ,并 掌握 一 定 的 安全 防范 措施 ,让 
黑客 无 任何 机 会 可 乘 。 我 们 先 来 了 解 和 研究 一 下 黑客 的 攻击 手段 ,这 样 才能 采取 准确 的 对 
策 对 付 网 络 攻击 。 

黑客 常用 的 攻击 手段 有 获取 用 户口 令 、 放 置 木马 程序 .电子 邮件 攻击 、 网 络 监听 \ 利 用 账 
号 进行 攻击 、 获 取 超级 用 户 权 限 等 。 

黑客 攻击 系统 通常 使 用 的 工具 有 扫描 器 、 嗅 探 器 ,木马 和 炸弹 等 。 
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扫描 器 是 检测 本 地 或 远程 系统 安全 脆弱 性 的 软件 。 利 用 它 通 过 与 目标 主机 的 TCP/IP 
端口 建立 连接 并 请 求 某 些 服务 ,记录 目标 主机 的 应 答 ,收集 目标 主机 的 相关 信息 ,从 
而 发 现 目标 主机 某 些 内 在 的 安全 弱点 。 

嗅 探 器 是 一 种 常用 的 收集 有 用 数据 的 工具 。 利 用 它 可 收集 用 户 的 账号 和 密码 ,或 是 
一 些 商 业 性 机 密 数 据 。 

著名 的 木马 工具 软件 ,如 冰河 木马 .BO2000、NetSpy、 广 外 女生 等 ,功能 都 很 强大 ,被 
黑客 广泛 利用 。 

被 黑客 常用 的 炸弹 工具 有 邮件 类 炸弹 、IP 类 炸弹 和 ICQ 类 炸弹 等 。 


黑客 的 攻击 与 防范 


对 于 网 络 协 议 ,操作 系统 、 数 据 库 和 应 用 程序 等 ,无 论 是 其 本 身 的 设计 缺陷 ,还 是 由 于 人 
为 因素 造成 的 各 种 漏洞 ,都 可 能 被 黑客 利用 来 进行 网 络 攻 击 。 因 此 ,要 保证 网 络 信 息 的 安 
全 ,必须 熟知 黑客 攻击 网 络 的 一 般 过 程 ,在 此 基础 上 才能 制定 相应 的 防范 策略 ,确保 网 络 
安全 。 


1. 黑客 攻击 的 过 程 


网 络 攻击 是 一 个 系统 性 很 强 的 工作 ,其 主要 有 以 下 过 程 。 

(1) 确定 攻击 目的 

攻击 者 在 进行 一 次 完整 的 攻击 之 前 ,首先 要 确定 攻击 要 达到 的 目的 , 即 要 给 对 方 造成 什 
么 伤害 。 常 见 的 攻击 目的 就 是 破坏 和 入 侵 。 破 坏 型 攻击 就 是 破坏 攻击 目标 ,使 其 不 能 正常 
工作 ,而 不 随意 控制 目标 的 系统 运行 。 要 达到 破坏 性 攻击 的 目的 ,主要 的 手段 是 拒绝 服务 
(DoS) 攻 击 。 和 人 侵 型 攻击 就 是 人 侵 攻击 目标 , 它 是 以 获得 一 定 的 权限 、 控 制 攻击 目标 为 目 
的 。 该 类 攻击 比 破坏 型 攻击 更 为 普遍 ,威胁 也 更 大 。 


(2) 收集 信息 


黑客 在 确定 攻击 目的 后 ,还 需 进一步 获取 有 关 信 息 ,如 攻击 目标 机 的 IP 地 址 、 所 在 网 络 
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的 操作 系统 类 型 和 版 本 、 系 统管 理 人 员 的 邮件 地 址 等 ,根据 这 些 信息 进行 分 析 , 可 得 到 有 关 
被 攻击 方 系统 中 可 能 存在 的 漏洞 。 收 集 信 息 的 过 程 并 不 对 目标 本 身 造 成 危害 ,只 是 为 进 一 
步 人 侵 提 供 有 用 的 信息 。 

(3) 系统 安全 弱点 的 探测 

在 收集 到 攻击 目标 的 一 些 网 络 信息 后 ,黑客 会 探测 目标 网 络 上 的 每 台 主 机 ,以 寻求 该 系 
统 的 安全 漏洞 或 安全 弱点 ,黑客 主要 使 用 自 编程 序 和 利用 扫描 工具 方式 进行 系统 安全 弱点 
的 探测 。 

(4) 建立 模拟 环境 ,进行 模拟 攻击 

黑客 根据 前 几 步 所 获得 的 信息 ,建立 一 个 类 似 攻击 对 象 的 模拟 环境 ,然后 对 模拟 目标 机 
进行 一 系列 的 攻击 。 在 此 期 间 ,通过 检查 被 攻击 方 的 日 志 , 观 察 检 测 工具 对 攻击 的 反应 等 ， 
可 以 了 解 攻击 过 程 中 留 下 的 "痕迹 ” 及 被 攻击 方 的 状态 ,这 样 攻击 者 就 知道 需要 删除 哪些 文 
件 来 毁灭 其 入侵 证 据 , 以 此 又 可 制定 一 个 系统 的 \ 周 密 的 攻击 策略 。 

(5) 实施 网 络 攻击 

入 侵 者 以 前 几 步 所 做 工作 为 基础 ,再 结合 自身 的 水 平 及 经 验 总 结 出 相应 的 攻击 方法 ,在 
进行 模拟 攻击 的 实践 后 ,将 等 待 时 机 ,实施 真正 的 网 络 攻击 。 通 常 , 黑 客 实施 的 网 络 攻击 可 
能 包括 以 下 操作 : 

。 通过 猜测 程序 可 对 截获 的 用 户 账号 和 口令 进行 破译 。 

。 利用 破译 程序 可 对 截获 的 系统 密码 文件 进行 破译 。 

。 通过 得 到 的 用 户口 令 和 系统 密码 远程 登录 网 络 , 以 此 获得 用 户 的 工作 权限 。 

。 利用 本 地 漏洞 获取 管理 员 权限 。 

。 利用 网 络 和 系统 本 身 的 薄弱 环节 和 安全 漏洞 实施 电子 引诱 (如 安放 木马 ) 等 。 

。 修改 网 页 进行 恶作剧 ,或 破坏 系统 程序 ,或 放置 病毒 使 系统 陷 人 瘫痪 ,或 窃取 政治 、 

军事 .商业 秘密 ,或 进行 电子 邮件 骚扰 ,或 转移 资金 账户 ,窃取 金钱 等 。 


2. 拒绝 服务 (DoS) 攻 击 与 防范 


DoS 攻击 主要 是 攻击 者 利用 TCP/IP 协议 本 身 的 漏洞 或 网 络 中 操作 系统 漏洞 实现 的 。 
攻击 者 通过 发 送 大 量 无 效 的 请 求 数据 包 造 成 服务 器 进程 无 法 短期 释放 .大量 积累 耗 尽 系统 
资源 ,使 得 服务 器 无 法 对 正常 请 求 进行 响应 ,造成 服务 器 瘫痪 。 这 种 攻击 主要 是 用 来 攻击 域 
名 服务 器 、 路 由 器 以 及 其 他 网 络 操作 服务 ,攻击 之 后 造成 被 攻击 者 无 法 正常 工作 和 提供 
服务 。 

在 DoS 攻击 中 ,攻击 者 加 载 过 多 的 服务 将 系统 资源 (如 CPU 时间、 磁盘 空间 、 打 印 机 ， 
甚至 是 系统 管理 员 时 间 ) 全 部 或 部 分 占用 .使 得 没有 多 余 资源 供 其 他 用 户 使 用 。 由 于 DoS 
攻击 工具 的 技术 要 求 不 高 ,效果 却 比较 明显 ,因此 成 为 当今 网 络 中 被 黑客 广 为 使 用 的 一 种 十 
分 流行 的 攻击 手段 。 

众所周知 ,在 TCP/IP 传输 层 ,TCP 连接 的 建立 要 通过 三 次 握手 机 制 来 完成 。 客 户 端 
首先 发 送 SYN 信息 (第 1 次 握手 ) ,服务 器 发 回 SYN/ACK 信息 (第 2 次 握手 ) ,客户 端 连接 
后 再 发 回 ACK 信息 (第 3 次 握手 ) ,此 时 连接 建立 完成 。 若 客户 端 不 发 回 ACK, 则 服务 器 在 
超时 后 处 理 其 他 连接 。 在 连接 建立 后 ,TCP 层 实体 即 可 在 已 建立 的 连接 上 开始 传输 TCP 
数据 段 。 
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TCP 的 三 次 握手 过 程 常常 被 黑客 利用 进行 DoS 攻击 。DoS 攻击 的 原理 是 : 客户 机 先 
进行 第 1 次 握手 ; 服务 器 收 到 信息 后 进行 第 2 次 握手 ; 正常 情况 客户 机 应 该 进行 第 3 次 握 
手 。 但 因为 被 黑客 控制 的 客户 端 (攻击 者 ) 在 进行 第 1 次 握手 时 修改 了 自己 的 地 址 ,即将 一 
个 实际 上 不 存在 的 IP 地 址 填充 在 自己 的 IP 数据 包 的 发 送 者 IP 栏 中 ,这 样 ,由 于 服务 器 发 
送 的 第 2 次 握手 信息 没 人 接收 ,所 以 服务 器 不 会 收 到 第 3 次 握手 的 确认 信号 ,这 样 服务 器 端 
会 一 直 等 待 直至 超时 。 当 有 大 量 的 客户 发 出 请 求 后 ,服务 器 就 会 有 大 量 的 信息 在 排队 等 待 ， 
直到 所 有 的 资源 被 用 光 而 不 能 再 接收 客户 机 的 请 求 。 当 正常 的 用 户 向 服务 器 发 出 请 求 时 ， 
由 于 没有 了 资源 就 会 被 拒绝 服务 。 

SYN Flood( 洪 泛 ) 攻 击 是 典型 的 DoS 攻击 。SYN Flood 常常 是 源 IP 地 址 欺骗 攻击 的 
前 奏 , 又 称 “ 半 连接 ” 式 攻击 。SYN Flood 攻击 处 于 TCP/IP 协议 的 传输 层 。 首 先 ,攻击 者 向 
被 攻击 对 象 发 送 虚 假 源 地 址 的 SYN 报 文 段 , 当 被 攻击 对 象 收 到 该 SYN 报 文 段 后 把 该 源 地 
址 作为 目的 地 址 发 送 SYN/ACK 报 文 段 ,同时 被 攻击 对 象 建立 起 一 个 处 于 SYN_RCVD 状 
态 的 等 待 连接 。 如 果 具 有 该 虚假 源 地 址 的 系统 不 可 到 达 , 被 攻击 对 象 将 收 不 到 响应 的 RST 
报 文 段 或 ACK 报 文 段 ,从 而 一 直 等 待 ,直到 超时 。 由 于 攻击 者 不 间歇 地 发 送 这 样 的 SYN 
报 文 段 ,被 攻击 对 象 将 不 断 建 立 这 样 的 半 连 接 ( 只 有 发 送 , 收 不 到 响应 ) ,最终 被 攻击 对 象 所 
建立 的 连接 数 达 到 其 所 允许 的 最 大 值 后 ,服务 器 不 再 响应 合法 用 户 的 正常 请 求 ,引起 了 DoS 
攻击 。 

可 采用 防火 墙 系统 、 入 侵 检测 系统 (IDS) 和 入 侵 防护 系统 (IPS) 等 技术 措施 防范 DoS 攻 
击 。 此 外 ,从 网 络 的 全 局 着 眼 ,在 网 间 基 础 设施 的 各 个 层面 上 采取 应 对 措施 ,包括 在 局 域 网 
层面 上 采用 特殊 措施 ,在 网 络 传输 层面 上 进行 必要 的 安全 设置 ,并 安装 专门 的 DoS 识别 和 
预防 工具 (如 Extreme Ware 管理 套件 ) ,提供 了 有 效 的 识别 机 制 和 强硬 的 控制 手段 ,这 样 才 
能 最 大 限度 地 减少 DoS 攻击 所 造成 的 损失 。 

对 于 DoS 攻击 ,可 采取 的 一 些 具体 措施 有 : 

。 对 于 信息 活 没 攻击 ,应 关 掉 可 能 产生 无 限 序列 的 服务 来 防止 这 种 攻击 。 比 如 ,我 们 

可 以 在 服务 器 端 拒绝 所 有 的 ICMP 包 , 或 在 该 网 段 路 由 器 上 对 ICMP 包 进 行 带宽 限 
制 ,控制 其 在 一 定 的 范围 内 。 
。 要 防止 SYN 数据 段 攻 击 , 应 对 系统 设 定 相 应 的 内 核 参 数 ,使 得 系统 强制 对 超时 的 
SYN 请 求 连接 数据 包 复 位 ,同时 通过 缩短 超时 常数 和 加 长 等 候 队 列 使 得 系统 能 迅 
速 处 理 无 效 的 SYN 请求 数据 包 。 
。 建议 在 该 网 段 的 路 由 器 上 做 些 诸如 限制 SYN 半 开 数据 包 流 量 和 个 数 配置 的 调整 。 
。 建议 在 路 由 器 的 前 端 做 必要 的 TCP 拦截 ,使 得 只 有 完成 TCP 三 次 握手 过 程 的 数据 
包 才 可 进入 该 网 段 ,这 样 可 以 有 效 地 保护 本 网 段 内 的 服务 器 不 受 此 类 攻击 。 
对 于 正在 实施 的 DoS 攻击 ,只 有 追根 溯源 去 找到 正在 进行 攻击 的 机 器 和 攻击 者 。 要 追 
踪 攻击 者 不 是 一 件 容 易 的 事情 ,一 旦 其 停止 了 攻击 行为 就 很 难 被 发 现 。 唯 一 可 行 的 方法 就 
是 在 其 进行 攻击 的 时 候 , 根 据 路 由 器 的 信息 和 攻击 数据 包 的 特征 ,采用 逐 级 回溯 的 方法 来 查 


3. 分 布 式 拒绝 服务 (DDoS) 攻 击 与 防范 


随 着 Internet 的 发 展 , 出 现 了 越 来 越 多 的 对 网 络 体系 进行 故意 破坏 的 黑客 团体 。 他 们 
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研究 出 了 各 种 攻击 方法 ,其 中 最 难 防 范 的 也 是 最 具 破 坏 性 的 要 属 分 布 式 拒绝 服务 (DDoS ) 攻 
击 了 。DDoS 是 一 种 特殊 形式 的 拒绝 服务 攻击 ,采用 一 种 分 布 . 协 作 的 大 规模 攻击 方式 , 主 
要 瞄准 如 商业 公司 ,搜索 引擎 和 政府 部 门 网 站 等 比较 大 的 站 点 。DDoS 攻击 是 目前 黑客 经 
常 采用 而 难以 防范 的 攻击 手段 。 为 了 最 大 限度 地 阻止 DDoS 攻击 ,了 解 DDoS 的 攻击 方式 
和 防范 手段 已 是 网 络 安 全 人 员 所 必 备 的 。 

(1) DDoS 攻击 的 概念 及 原理 

Dos 的 攻击 方式 有 很 多 种 ,最 基本 的 DoS 攻击 就 是 用 超出 被 攻击 目标 处 理 能 力 的 海量 
数据 包 消 耗 可 用 系统 .带宽 资源 ,致使 网 络 服务 瘫痪 。 在 早期 ,DoS 攻击 主要 是 针对 处 理 能 
力 较 弱 的 单机 ,而 对 拥有 高 带宽 连接 、 高 性 能 设备 的 网 站 影响 不 大 。 单 一 的 DoS 攻击 一 般 
是 采用 一 对 一 方式 的 ,DoS 攻击 的 明显 效果 是 使 被 攻击 目标 的 CPU 速度 .内存 和 网 络 带宽 
等 各 项 性 能 指标 变 低 。 随 着 计算 机 处 理 能 力 和 内 存 容量 的 迅速 增加 ,这 就 降低 了 DoS 攻击 
的 风险 和 人 危害 ,目标 主机 对 恶意 攻击 包 的 “消化 能 力 ” 也 增强 了 。 比 如 攻击 者 的 攻击 软件 每 
秒 钟 可 以 发 送 3000 个 攻击 包 , 但 用 户 的 主机 与 网 络 带 宽 每 秒 钟 可 以 处 理 10 000 个 攻击 包 ， 
这 样 攻击 就 不 会 产生 什么 效果 。 因 而 就 出 现 了 DDoS 攻击 手段 。 

DDoS 攻击 就 是 在 传统 的 DoS 攻击 基础 之 上 产生 的 一 种 攻击 方式 。 试 想 如 果 计 算 机 与 
网 络 的 处 理 能 力 加 大 了 10 倍 , 用 一 台 攻 击 机 来 攻击 不 会 起 作用 ,但 攻击 者 要 是 用 10 台 、100 
台 攻 击 机 同时 攻击 呢 ? 这 就 是 DDoS 攻击 的 思路 , 它 就 是 利用 更 多 的 被 控制 机 发 起 进攻 ,以 
比 从 前 更 大 的 规模 来 进攻 受害 者 。 如 图 7. 1 所 示 ,为 完成 DDoS 攻击 ,黑客 首先 要 拥有 和 控 
制 三 种 类 型 的 计算 机 : 攻击 者 计算 机 (黑客 本 人 使 用 ,黑客 通过 它 发 布 实施 DDoS 的 指令 )、 
控制 便 偶 机 (一 般 不 属 黑客 所 有 ,黑客 在 这 些 计算 机 上 安装 上 特定 的 主 控制 软件 ) 和 攻击 侈 
偶 机 。 每 个 攻击 倪 偶 机 也 是 一 台 已 被 人 侵 并 运行 代理 程序 的 系统 主机 ,每 个 响应 攻击 命令 
的 攻击 例 偶 机 会 向 被 攻击 目标 主机 发 送 DoS 数据 包 。 


攻击 仇人 篇 机 


攻击 做 仿 机 


控制 便便 机 
@ 


攻击 仇 偏 机 


7.1 分 布 式 拒绝 服务 攻击 示意 图 


DDoS 攻击 包 是 从 攻击 佛 偶 机 上 发 出 的 ,控制 贫 儒 机 只 发 布 命令 而 不 参与 实际 的 攻击 。 
黑客 对 这 两 类 计算 机 有 控制 权 或 部 分 的 控制 权 , 并 把 相应 的 DDoS 程序 上 传 到 这 些 平台 上 ， 
这 些 程序 与 正常 的 程序 一 样 运行 并 等 待 来 自 黑客 的 指令 。 平 时 攻击 佛 偶 机 并 没有 什么 异 
常 ,只 是 一 旦 被 黑客 控制 并 接收 到 指令 ,他们 就 成 为 害 人 者 去 发 起 攻击 了 。 

一 般 来 说 ,黑客 的 DDoS 攻击 分 为 以 下 几 个 阶段 : 
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准备 阶段 。 在 这 个 阶段 ,黑客 搜集 和 了 解 目标 的 情况 (主要 是 目标 主机 数目 、 地 址 、 
配制 .性 能 和 带宽 )。 该 阶段 对 于 黑客 来 说 非常 重要 ,因为 完全 了 解 目 标的 情况 ,才能 有 效 地 
进行 进攻 。 对 于 DDoS 攻击 者 ,要 攻击 某 个 站 点 ,首先 要 确定 到 底 有 和 多少 台 主 机 在 支持 这 个 
站 点 ,一 个 大 的 网 站 可 能 有 很 多 台 主 机 利用 负载 均衡 技术 提供 同一 个 网 站 的 WWW 服务 。 

@ 占领 倪 儒 机 。 该 阶段 实际 上 是 使 用 了 利用 型 攻击 手段 。 简 单 地 说 ,就 是 占领 和 控制 
倪 偶 机 ,取得 最 高 的 管理 权限 ,或 至 少 得 到 一 个 有 权限 完成 DDoS 攻击 任务 的 账号 。 

@ 植 和 程序。 占领 侧 儒 机 后 ,黑客 在 控制 侧 儒 机 上 安装 主 控制 软件 master, 在 攻击 倪 
偶 机 上 安装 守护 程序 daemon。 攻 击 俐 偶 机 上 的 代理 程序 在 指定 端口 上 监听 来 自控 制 侧 偶 
机 发 送 的 攻击 命令 ,而 控制 侧 偶 机 接受 从 攻击 者 计算 机 发 送 的 指令 。 

@ 实施 攻击 。 经 过 前 3 个 阶段 的 精心 准备 后 ,黑客 就 开始 瞄准 目标 准备 攻击 了 。 黑 客 
登录 到 控制 倪 偶 机 ,向 所 有 的 攻击 机 发 出 攻击 命令 。 这 时 候 潜伏 在 攻击 机 中 的 DDoS 攻击 
程序 就 会 响应 控制 台 的 命令 ,一 起 向 受害 主机 高 速 发 送 大 量 的 数据 包 , 导 致 受害 者 死机 或 是 
无 法 响应 正常 的 请 求 。 

(2) DDoS 攻击 的 防范 

目前 ,对 DDoS 攻击 的 防御 还 是 比较 困难 的 ,但 实际 上 防止 DDoS 并 不 是 绝对 不 可 行 的 
事情 。 一 个 企业 内 部 网 的 管理 者 往往 也 是 网 络 安全 员 。 在 他 维护 的 网 络 中 有 一 些 服务 器 需 
要 向 外 提供 WWW 服务 ,因而 不 可 避免 地 成 为 DDoS 的 攻击 目标 ,他 可 以 从 对 主机 与 网 络 
两 个 角度 考虑 进行 安全 设置 。 

在 主机 上 可 使 用 网 络 和 主机 扫描 工具 检测 脆弱 性 、 采 用 NIDS 和 嗅 探 器 、 及 时 更 新 系统 
补丁 等 措施 防范 DDoS。 

在 网 络 的 防火 墙 上 可 以 采取 禁止 对 主机 的 非 开放 服务 的 访问 、 限 制 同时 打开 的 SYN 
最 大 连接 数 、 限 制 特 定 IP 地 址 的 访问 、 严 格 限 制 开放 的 服务 器 的 对 外 访问 等 设置 ; 在 网 络 
的 路 由 器 上 可 采取 检查 每 一 个 经 过 路 由 器 的 数据 包 、 设 置 SYN 数据 包 流 量 速率 、 在 边界 路 
由 器 上 部 署 策略 .使 用 CAR 限制 ICMP 数据 包 流 量 速率 等 设置 。 


4. 缓冲 区 溢出 攻击 与 防范 


(1) 缓冲 区 溢出 攻击 的 概念 及 原理 

缓冲 区 是 用 户 为 程序 运行 时 在 计算 机 中 申请 的 一 段 连续 的 内 存 , 它 保存 给 定 类 型 的 数 
据 。 缓 冲 区 溢出 是 指 通 过 向 程序 的 缓冲 区 写 入 超出 其 长 度 的 内 容 ,造成 缓冲 区 的 溢出 ,从 而 
破坏 程序 的 堆栈 ,使 程序 转 而 执行 其 他 的 指令 ,以 达到 攻击 的 目的 。 缓 冲 区 溢出 攻击 是 一 种 
常见 且 危 害 很 大 的 系统 攻击 手段 ,这 种 攻击 可 以 使 一 个 匿名 的 Internet 用 户 有 机 会 获得 一 
台 主 机 的 部 分 或 全 部 的 控制 权 。 

缓冲 区 溢出 攻击 是 最 为 常见 的 一 种 攻击 形式 ,占据 远程 网 络 攻 击 的 绝 大 多 数 。 有 资料 
显示 ,80% 的 攻击 事件 与 缓冲 区 溢出 漏洞 有 关 。 目 前 公开 的 安全 漏洞 也 有 相当 一 部 分 属于 
缓冲 区 溢出 漏洞 。 

1988 年 的 莫 里 斯 蠕虫 就 利用 UNIX fingered 程序 不 限制 输入 长 度 的 漏洞 ,输入 512 个 
字符 后 使 缓冲 区 溢出 。 该 蠕虫 程序 以 root( 根 ) 身 份 执行 ,并 感染 到 其 他 机 器 上 。Slammer 
蠕虫 也 是 利用 未 及 时 更 新 补丁 的 MS SQL Server 数据 库 缓 冲 区 溢出 漏洞 ,采用 不 正确 的 方 
式 将 数据 发 到 MS SQL Server 的 监听 端口 .这 个 错误 可 以 引起 缓冲 溢出 攻击 ; 攻击 代码 通 
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过 缓冲 溢出 获得 非法 权限 后 ,被 攻击 主机 上 的 SQL server. exe 进程 会 尝试 向 随机 的 了 P 地 
址 不 断 发 送 攻击 代码 ,感染 其 他 机 器 ,最 终 形成 UDP Flood, 造 成 网 络 堵塞 甚至 瘫痪 。 

缓冲 区 溢出 攻击 的 工作 原理 是 : 向 一 个 有 限 空间 的 缓冲 区 中 拷贝 过 长 的 字符 串 。 这 将 
带 来 两 种 后 果 : 一 是 过 长 的 字符 串 覆 盖 了 相 邻 的 存储 单元 而 造成 程序 竣 痰 ,甚至 造成 宕 机 、 
系统 或 进程 重启 等 ; 二 是 可 让 攻击 者 运行 恶意 代码 ,执行 任意 指令 ,甚至 获得 超级 权限 。 

缓冲 区 溢出 攻击 的 目的 在 于 扰乱 具有 某 些 特 权 运 行 的 程序 功能 ,使 攻击 者 取得 程序 的 
控制 权 , 如 果 该 程序 具有 足够 的 权限 ,那么 整个 主机 就 被 控制 了 。 为 了 达到 这 个 目的 ,攻击 
者 一 是 要 在 程序 的 地 址 空间 里 安排 适当 的 代码 ,二 是 要 通过 适当 地 初始 化 寄存 器 和 存储 器 ， 
让 程序 跳 转 到 事先 安排 的 地 址 去 执行 。 因 此 采用 在 程序 的 地 址 空间 里 安排 适当 的 代码 、 控 
制程 序 的 执行 流程 使 之 跳 转 到 攻击 代码 、 综 合 代码 植 人 和 流程 控制 方法 实现 缓冲 区 溢出 
攻击 。 

缓冲 区 溢出 攻击 屡次 得 逮 主 要 利用 了 C 程序 中 数组 边境 条 件 、 函 数 指针 等 设计 不 当 的 
漏洞 ,大 多 数 Windows、Linux、UNIX 和 数据 库 系 列 的 开发 都 依赖 于 C 语言 ,而 C 语言 的 缺 
点 是 缺乏 类 型 安全 ,所 以 这 种 攻击 成 为 操作 系统 、 数 据 库 等 大 型 应 用 程序 最 普遍 的 漏洞 
A 

(2) 缓冲 区 流出 攻击 的 防范 

缓冲 区 溢出 是 一 种 流行 的 网 络 攻击 方法 , 它 易于 实现 且 危 害 严重 ,给 系统 的 安全 带 来 了 
极 大 的 隐患 。 值 得 关注 的 是 ,防火 墙 对 这 种 攻击 方式 无 能 为 力 , 因 为 攻击 者 传输 的 数据 分 组 
并 无 异常 特征 ,没有 任何 欺骗 。 另 外 可 以 用 来 实施 缓冲 区 洪 出 攻击 的 字符 串 非 常 多 样 化 ,无 
法 与 正常 数据 进行 有 效 区 分 。 缓 冲 区 溢出 攻击 不 是 一 种 穷 密 和 欺骗 手段 ,而 是 从 计算 机 系 
统 的 最 底层 发 起 的 攻击 ,因此 在 它 的 攻击 下 系统 的 身份 验证 和 访问 权限 等 安全 策略 形 同 
虚设 。 

可 以 采用 以 下 几 种 基本 的 方法 保护 缓冲 区 免 受 滋 出 攻击 : 

J@O 编写 正确 的 代码 。 人 们 开发 了 一 些 工 具 和 技术 来 帮助 程序 员 编 写 安全 正确 的 程序 ， 
如 编程 人 员 可 以 使 用 具有 类 型 安全 的 语言 Java 以 避免 C 的 缺陷 ; 在 C 开发 环境 下 编程 应 
避免 使 用 Gets、Sprintf 等 未 限定 边界 溢出 的 危险 函数 ; 使 用 检查 堆栈 溢出 的 编译 器 (如 
Compaq C 编译 器 ) 等 。 

@ 非 执行 缓冲 区 保护 。 通 过 使 被 攻击 程序 的 数据 段 地 址 空间 不 可 执行 ,从 而 使 得 攻击 
者 不 可 能 植 和 缓冲 区 的 代码 ,这 就 是 非 执行 缓冲 区 保护 。 

@ 数组 边界 检查 。 这 种 检查 可 防止 缓冲 区 溢出 的 产生 。 为 了 实现 数组 边界 检查 ,所 有 
对 数组 的 读 写 操作 都 应 当 被 检查 以 确保 在 正确 的 范围 内 对 数组 的 操作 。 最 直接 的 方法 是 检 
查 所 有 的 数组 操作 ,但 是 通常 可 以 采用 一 些 优化 的 技术 来 减少 检查 的 次 数 。 

@ 程序 指针 完整 性 检查 。 这 种 检查 可 在 程序 指针 被 引用 之 前 检测 到 它 的 改变 。 因 此 ， 
即便 一 个 攻击 者 成 功 地 改变 了 程序 的 指针 ,由 于 系统 事先 检测 到 了 指针 的 改变 ,这 个 指针 就 
不 会 被 使 用 。 

此 外 ,在 产品 发 布 前 仍 需 要 仔细 检查 程序 溢出 情况 ,将 威胁 降 至 最 低 。 作 为 普通 用 户 或 
系统 管理 员 ,应 及 时 为 自己 的 操作 系统 和 应 用 程序 更 新 补丁 ,以 修补 公开 的 漏洞 ,减少 不 必 
要 的 开放 服务 端口 ,合理 配置 自己 的 系统 。 
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73 入 侵 检 测 与 入 侵 防 护 系 统 


在 网 络 中 ,黑客 首先 确定 目标 并 且 收 集 相 关 信 息 ( 包 括 邮 件 地 址 、 相 关 IP 地 址 、 漏 洞 
等 ) ,然后 根据 得 到 的 信息 进行 渗透 ,这 就 是 黑客 人 侵 。 总 的 说 来 人 侵 者 就 是 要 尽 可 能 地 获 
得 足够 的 权限 ,接着 就 做 他 们 愿意 做 的 事情 ,如 获得 机 密 、 进 行 破坏 等 。 


73.1 入 侵 检 测 系统 概述 


1. 入侵 检测 系统 的 概念 和 功能 


入侵 检测 系统 (Intrusion Detection System,IDS) 就 是 用 来 监视 和 检测 入 侵 事 件 的 系 
统 。IDS 使 网 络 安全 管理 员 能 及 时 地 处 理 入 侵 警报 , 尽 可 能 减少 入 侵 对 系统 造成 的 损害 。 
由 于 入 侵 事 件 的 危害 越 来 越 大 ,人 们 对 IDS 的 关注 也 越 来 越 多 。 对 入 侵 攻 击 的 检测 与 防 
范 ,保障 计算 机 系统 、 网 络 系统 及 整个 信息 基础 设施 的 安全 等 已 经 成 为 人 们 关注 的 重要 课 
题 。IDS 也 已 成 为 网 络 安全 体系 中 的 一 个 重要 环节 。 

IDS 不 仅 能 监测 外 来 干涉 的 入 侵 者 ,同时 也 能 监测 内 部 的 入 侵 行为 ,这 就 弥补 了 防火 墙 
在 这 方面 的 不 足 。 防 火 墙 为 网 络 安全 提供 了 第 一 道 防线 ,IDS 作为 防火 墙 之 后 的 第 二 道 安 
全 闸门 ,在 不 影响 网 络 性 能 的 情况 下 能 对 网 络 进行 监测 ,提供 对 内 部 攻击 、 外 部 攻击 和 误 操 
作 的 实时 保护 ,从 而 也 极 大 地 减少 了 网 络 各 种 可 能 攻击 的 损害 。 

IDS 可 通过 向 管理 员 发 出 入 侵 或 入 侵 企 图 来 加 强 当 前 的 访问 控制 系统 ,识别 防火 墙 通 
常 不 能 识别 的 (如 来 自 企 业内 部 的 ) 攻 击 , 在 发 现 入 侵 企图 后 提供 必要 的 信息 ,提示 网 络 管理 
员 有 效 地 监视 .审计 并 处 理 系统 的 安全 事件 。 

与 其 他 安全 产品 不 同 的 是 ,IDS 需要 更 多 的 智能 , 它 必 须 能 对 得 到 的 数据 进行 分 析 ,并 
得 出 有 用 的 结果 。 

一 个 成 功 的 IDS 不 但 能 大 大 地 简化 管理 员 的 工作 ,保证 网 络 安全 的 运行 ,使 系统 管理 
员 时 刻 了 解 网 络 系统 (包括 程序 .文件 和 硬件 设备 等 ) 的 任何 变更 ,还 能 给 网 络 安全 策略 的 制 
订 提 供 指 导 。 入 侵 检测 的 规模 应 根据 网 络 威胁 、 系 统 构 造 和 安全 需求 的 改变 而 改变 。IDS 
在 发 现 人 侵 后 ,会 及 时 做 出 响应 ,包括 切断 网 络 连 接 、 记 录 事 件 和 报警 等 。 因 此 ,IDS 通常 具 
有 以 下 功能 : 

。 监视 用 户 和 系统 的 运行 状况 ,查找 非法 用 户 和 合法 用 户 的 越权 操作 。 

。 对 系统 的 构造 和 弱点 进行 审计 。 

。 识别 分 析 著 名 攻击 的 行为 特征 并 报警 。 

。 对 异常 行为 模式 进行 统计 分 析 。 

。 评估 重要 系统 和 数据 文件 的 完整 性 。 

对 操作 系统 进行 跟踪 审计 管理 ,并 识别 用 户 违 反 安全 策略 的 行为 。 
容错 功能 。 即 使 系统 发 生 崩 演 , 也 不 会 丢失 数据 ,或 在 系统 重新 启动 时 重建 自己 的 
信息 库 。 
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2. 入 侵 检测 系统 的 原理 


入 侵 检测 可 分 为 实时 入 侵 检测 和 事后 人 侵 检测 两 种 类 型 。 

实时 入侵 检 测 是 在 网 络 连接 过 程 中 进行 的 ,系统 根据 用 户 的 历史 行为 模型 .存储 在 计算 
机 中 的 专家 知识 和 神经 网 络 模型 对 用 户 当前 的 操作 进行 判断 ,一 旦 发 现 人 侵 迹象 ,就 立即 断 
开 入 侵 者 与 主机 的 连接 ,并 收集 证 据 和 实施 数据 恢复 。 这 个 检测 过 程 是 循环 进行 的 。 

事后 入 侵 检 测 是 由 网 络 管理 人 员 进 行 的 。 他 们 具有 网 络 安全 的 专业 知识 ,根据 计算 机 
系统 对 用 户 操作 所 做 的 历史 审计 记录 判断 是 否 有 入 侵 行 为 ,如 果 有 就 断 开 连接 ,并 记录 入 侵 
证 据 , 进 行 数据 恢复 。 事 后 人 侵 检测 是 由 管理 员 定 期 或 不 定期 进行 的 ,不 具有 实时 性 ,因此 
防御 入 侵 的 能 力也 不 如 实时 入 侵 检测 。 

从 宏观 角度 看 ,入侵 检测 的 基本 原理 很 简单 。 入 侵 检 测 与 其 他 检测 技术 有 同样 的 原理 ， 
那 就 是 : 从 收集 到 的 一 组 数据 中 ,检测 出 符合 某 一 特点 的 数据 。 入 侵 者 在 攻击 时 会 留 下 一 
些 痕迹 ,这 些 痕 迹 与 系统 正常 运行 时 产生 的 数据 混合 在 一 起 。 入 侵 检 测 的 任务 就 是 要 从 这 
样 的 混合 数据 中 找 出 具有 特征 的 数据 ,判断 是 否 有 入 侵 。 如 果 从 特征 数据 中 判断 有 入 侵 的 
痕迹 ,就 产生 报警 信号 。 


3. 入 侵 检测 的 过 程 


从 总 体 来 说 ,IDS 进行 人 侵 检测 有 信息 收集 和 信息 分 析 两 个 过 程 。 

1) 信息 收集 

信息 收集 的 内 容 包括 系统 、 网 络 .数据 及 用 户 活动 的 状态 和 行为 。 应 在 计算 机 网 络 系统 
中 的 若干 不 同 关键 点 (不 同 网 段 和 不 同 主机 ) 收 集 信息 。 入 侵 检测 很 大 程度 上 依赖 于 收集 到 
的 信息 的 可 靠 性 和 正确 性 。 因 此 ,有 必要 利用 真正 的 和 精确 的 软件 来 报告 这 些 信息 ,因为 黑 
客 经 常 蔡 换 软件 以 搞 混 和 移 走 这 些 信 息 , 例 如 替换 被 程序 调用 的 子 程序 . 库 和 其 他 工具 。 黑 
客 对 系统 的 修改 可 能 使 系统 功能 失常 ,但 看 起 来 跟 正 常 的 一 样 , 而 实际 上 则 不 是 。 这 需要 保 
证 用 来 检测 网 络 系统 软件 的 完整 性 ,特别 是 IDS 软件 本 身 应 具有 相当 强 的 坚固 性 ,防止 因 
被 筑 改 而 收集 到 错误 的 信息 。 

2) 信息 分 析 

一 般 通 过 模式 匹配 .统计 分 析 和 完整 性 分 析 三 种 技术 手段 对 收集 到 的 系统 、 网 络 、 数 据 
及 用 户 活动 的 状态 和 行为 等 信息 进行 分 析 。 其 中 前 两 种 方法 用 于 实时 人 侵 检测 ,而 完整 性 
分 析 则 用 于 事后 分 析 。 

(1) 模式 匹配 

模式 匹配 就 是 将 收集 到 的 信息 与 已 知 的 网 络 人 侵 和 系统 已 有 的 模式 数据 库 进 行 比较 ， 
从 而 发 现 违反 安全 策略 的 行为 。 该 方法 的 优点 是 只 需 收 集 相 关 的 数据 集合 ,减少 系统 负担 ， 
且 技 术 已 相当 成 熟 ; 但 缺点 是 需要 不 断 的 升级 以 对 付 不 断 出 现 的 黑客 攻击 ,不 能 检测 从 未 
出 现 过 的 攻击 。 

(2) 统计 分 析 

统计 分 析 方 法 首先 给 系统 对 象 (如 用 户 文件 ,目录 和 设备 等 ) 创 建 一 个 统计 描述 ,统计 
正常 使 用 时 的 一 些 测量 属性 (如 访问 次 数 、 操 作 失 败 次 数 和 延 时 等 )。 测 量 属性 的 平均 值 将 
被 用 来 与 网 络 、 系 统 的 行为 进行 比较 ,任何 观察 值 在 正常 值 范围 之 外 时 ,就 认为 有 入 侵 发 生 。 
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该 方法 的 优点 是 可 检测 到 未 知 的 人 侵 和 更 为 复杂 的 入侵; 缺点 是 误 报 、 漏 报 率 高 , 且 不 适应 
用 户 正 常 行为 的 突然 改变 。 

(3) 完整 性 分 析 

完整 性 分 析 主 要 关注 某 个 文件 或 对 象 是 否 被 更 改 。 它 利用 强 有 力 的 加 密 机 制 能 识别 很 
微小 的 变化 。 其 优点 是 不 管 模 式 匹 配方 法 和 统计 分 析 方 法 能 否 发 现 入 侵 ,只 要 是 攻击 导致 
了 文件 或 其 他 对 象 的 任何 改变 , 它 都 能 够 发 现 ; 缺点 是 一 般 以 批 处 理 方式 实现 ,用 于 事后 分 
析 而 不 用 于 实时 响应 。 


4. 入 侵 检测 系统 的 分 类 


按照 检测 对 象 划分 ,入 侵 检 测 技术 有 基于 主机 的 IDS、 基 于 网 络 的 IDS 和 混合 IDS 
三 类 。 
(1) 基于 主机 的 入 侵 检测 系统 

基于 主机 的 人 侵 检测 系统 (HIDS) 通 常 是 安装 在 被 重点 检测 的 主机 上 ,往往 以 系统 日 
志 、 应 用 程序 日 志 等 作为 数据 源 ,当然 也 可 以 通过 其 他 手段 对 所 在 的 主机 收集 信息 进行 分 
析 。HIDS 主要 是 对 该 主机 的 网 络 实时 连接 以 及 系统 审计 日 志 进 行 智能 分 析 和 判断 。 如 果 
其 中 主体 活动 十 分 可 疑 ,HIDS 就 会 采取 相应 措施 。 

HIDS 的 优点 是 监视 所 有 的 系统 行为 ,系统 误 报 率 低 , 检 测 数 据 流 简单 ,系统 简单 ,适应 
交换 和 加 密 , 不 要 求 额外 硬件 ; HIDS 的 弱点 是 看 不 到 网 络 活动 状况 ,运行 审计 功能 要 占用 
系统 资源 ,主机 监视 感应 器 对 不 同 平台 不 通用 ,管理 和 实施 比较 复杂 。 

(2) 基于 网 络 的 人 侵 检测 系统 

基于 网 络 的 入 侵 检 测 系统 (NIDS) 设 置 在 比较 重要 的 网 段 内 ,其 数据 源 是 网 络 上 的 数据 
包 。NIDS 往往 将 一 台 机 器 的 网 卡 设 于 混杂 模式 ,不 停 地 监视 本 网 段 中 的 各 种 数据 包 , 对 每 
一 个 数据 包 进 行 特征 分 析 和 判断 。 如 果 数 据 包 与 系统 内 置 的 某 些 规则 吻合 ,NIDS 就 会 发 
出 警报 甚至 直接 切断 网 络 连接 。 目 前 ,大 部 分 IDS 产品 是 基于 网 络 的 。NIDS 由 遍及 网 络 
的 传感器 (sensor) 组 成 ,传感器 是 一 台 将 以 太 网 卡 置 于 混杂 模式 的 计算 机 ,用 于 嗅 探 网 络 上 
的 数据 包 。 

NIDS 的 优点 是 能 检测 出 来 自 网 络 的 攻击 和 超过 授权 的 非法 访问 ,不 影响 机 器 的 CPU、 
1/0 与 磁盘 等 资源 的 使 用 ,系统 发 生 故 障 时 不 影响 正常 业务 的 运行 ,系统 风险 比 HIDS 风险 
小 得 多 ,系统 安装 方便 ,实时 性 好 ; NIDS 的 弱点 是 对 加 密 通 信 无 能 为 力 , 对 高 速 网 络 无 能 为 
力 ,不 能 预测 命令 的 执行 后 果 。 

(3) 混合 式 人 侵 检测 系统 

NIDS 和 HIDS 都 有 不 足 之 处 ,单纯 使 用 某 一 类 系统 会 造成 主动 防御 体系 的 不 全 面 。 
由 于 两 者 的 优 缺 点 是 互补 的 ,如 果 将 这 两 类 系统 结合 起 来 部 署 在 网 络 内 , 则 会 构成 一 套 完 整 
立体 的 主动 防御 体系 。 综合 了 基于 网 络 和 基于 主机 两 种 结构 特点 的 IDS, 既 可 发 现 网 络 中 
的 攻击 信息 ,也 可 从 系统 日 志 中 发 现 异常 情况 。 

IDS 能 在 入 侵 攻 击 前 检测 到 入 侵 攻击 ,并 利用 报警 与 防护 系统 阻止 入 侵 攻 击 ; 在 人 侵 
攻击 过 程 中 减少 人 侵 攻 击 所 造成 的 损失 ; 在 人 侵 攻 击 后 收集 入 侵 的 相关 信息 ,作为 防范 系 
统 的 知识 添加 入 知识 库 内 ,以 增强 系统 的 防范 能 力 。 
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732 入 侵 检 测 技术 及 发 展 趋势 


入 侵 检测 技术 是 为 保证 计算 机 网 络 系统 的 安全 而 设计 与 配置 的 一 种 能 够 及 时 发 现 并 报 
告 系统 异常 现象 的 技术 ,是 一 种 用 于 检测 计算 机 网 络 中 违反 安全 策略 行为 的 技术 。 从 具体 
的 检测 理论 来 看 ,IDS 的 检测 分 析 技 术 主 要 有 误 用 检测 技术 和 异常 检测 技术 两 大 类 。 


1. 误 用 检测 技术 


误 用 检测 技术 应 用 了 系统 缺陷 和 特殊 入 侵 的 累积 知识 ,因此 它 也 称 为 基于 知识 的 检测 
技术 或 模式 匹配 检测 技术 。 误 用 检测 技术 假定 所 有 的 和 人 侵 行为 和 手段 都 能 够 表达 一 种 模式 
或 特征 。 如 果 将 以 往 发 现 的 所 有 网 络 攻击 的 特征 总 结 出 来 ,并 建立 一 个 人 侵 信 息 库 , 则 IDS 
可 以 将 当前 捕获 到 的 网 络 行为 特征 与 人 侵 信息 库 中 的 特征 信息 相 比 较 , 如 果 匹 配 , 则 当前 行 
为 就 被 认定 是 入 侵 行为 。 误 用 检测 技术 可 对 已 知 的 入 侵 行为 和 手段 进行 分 析 , 提 取 检 测 特 
征 , 构 建 攻击 模式 ,通过 系统 当前 状态 与 攻击 模式 的 匹配 ,判断 入 侵 行为 。 

误 用 检测 可 以 准确 地 检测 出 已 知 的 入 侵 行 为 ,并 对 每 一 种 入 侵 都 能 提供 详细 的 资料 ,使 
得 使 用 者 能 够 方便 地 做 出 响应 ,但 它 不 能 检测 出 未 知 的 入 侵 行为 。 

误 用 检测 技术 具有 检测 准确 度 高 .技术 相对 成 熟 、 便 于 进行 系统 防护 等 优点 ,但 它 也 有 
入 侵 信 息 的 收集 和 更 新 困难 、 难 以 检测 本 地 和 人 侵 和 新 的 入 侵 行为 .维护 特征 库 的 工作 量 巨大 
等 缺点 。 


2. 异常 检测 技术 


异常 检测 技术 是 指 根据 用 户 的 行为 和 系统 资源 的 使 用 状况 判断 是 否 存在 网 络 入 侵 , 因 
此 又 被 称 为 基于 行为 的 入侵 检测 技术 。 异 常 检 测 技 术 首 先 假定 网 络 攻 击 行为 是 不 常见 的 或 
异常 的 ,区 别 于 所 有 的 正常 行为 。 如 果 能 够 为 用 户 和 系统 的 所 有 正常 行为 总 结 活动 规律 并 
建立 行为 模型 ,那么 IDS 可 以 将 当前 捕获 到 的 网 络 行为 与 行为 模型 进行 比较 , 若 人 侵 行为 
偏离 了 正常 行为 轨迹 ,就 可 以 被 检测 出 来 。 

异常 检测 可 识别 主机 或 网 络 中 不 寻常 的 行为 ,识别 攻击 与 正常 的 活动 的 差异 。 异 常 检 
测 先 收集 一 段 时 间 操 作 活 动 的 历史 数据 ,再 建立 代表 主机 、 用 户 或 网 络 连 接 的 正常 行为 描 
述 ; 然后 收集 事件 数据 并 使 用 一 些 不 同 的 方法 来 决定 所 检测 到 的 事件 活动 是 否 偏离 了 正常 
行为 模式 ,从 而 判断 是 否 发 生 了 入 侵 。 

异常 检测 的 优点 是 能 够 检测 出 新 的 入 侵 或 从 未 发 生 过 的 入 侵 , 对 操作 系统 的 依赖 性 较 
小 ,可 检测 出 属于 滥用 权限 型 的 入 侵 ; 但 其 缺点 是 报警 率 高 和 行为 模型 建立 困难 。 


3. 入 侵 检 测 技术 的 发 展 趋势 


随 着 Internet 的 发 展 与 广泛 应 用 ,无 论 从 规模 还 是 方法 上 ,网 络 入侵 的 手段 与 技术 也 都 
有 了 “进步 与 发 展 "。 入 侵 技术 的 发 展 主要 反映 出 入 侵 的 综合 化 与 复杂 化 、 主 体 对 象 的 隐 酸 
化 .规模 的 扩大 化 和 技术 的 分 布 化 等 特点 。 

根据 入侵 技术 的 发 展 特点 ,今后 的 人 侵 检测 技术 大 致 可 向 分 布 式 人 侵 检测 、 智 能 化 人 侵 
检测 .全 面 的 安全 防御 方案 改进 分 析 技 术 和 高 度 可 集成 化 等 方向 发 展 。 
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733 入 侵 防 护 系统 


1. 入侵 防护 系统 的 概念 


防火 墙 旨 在 拒绝 那些 明显 可 疑 的 网 络 流量 ,但 仍 允许 某 些 流量 通过 ,因此 它 对 很 多 人 侵 
攻击 无 计 可 施 。IDS 通过 监视 网 络 和 系统 资源 ,寻找 违反 安全 策略 的 行为 ,并 发 出 警报 , 因 
此 IDS 只 能 被 动 地 检测 攻击 ,而 不 能 主动 地 把 变化 莫 测 的 威胁 阻止 在 网 络 之 外 。 目 前 , 企 
业 所 面临 的 安全 问题 越 来 越 复杂 ,如 蠕虫 .DDoS 攻击 .垃圾 邮件 等 极 大 地 困扰 着 用 户 ,给 企 
业 网 络 造成 严重 的 破坏 。 因 此 ,人 们 迫切 需要 找到 一 种 主动 防护 人 侵 的 解决 方案 ,以 确保 企 
业 网 络 在 各 种 威胁 和 攻击 的 环境 下 正常 运行 。 

入 侵 防 护 系统 (Intrusion Prevention System,IPS) 则 能 提供 主动 性 的 防护 ,其 设计 旨 在 
预先 对 入 侵 活 动 和 攻击 性 网 络 流量 进行 拦截 ,避免 其 造成 损失 ,而 不 是 简单 地 在 恶意 流量 传 
送 时 或 传送 后 才 发 出 警报 。IPS 是 通过 直接 嵌入 到 网 络 流量 中 而 实现 这 一 功能 的 , 即 通过 
一 个 网 络 端口 接收 来 自 外 部 系统 的 流量 ,经 过 检查 确认 其 中 不 包含 异常 活动 或 可 疑 内 容 后 ， 
再 通过 另外 一 个 端口 将 它 传送 到 内 部 系统 中 。 这 样 一 来 ,有 问题 的 数据 包 和 所 有 来 自 同一 
数据 流 的 后 续 数 据 包 ,都 能 够 在 IPS 设备 中 被 清除 掉 。 

虽然 IDS 可 以 监视 网 络 传输 并 发 出 警报 ,但 它 并 不 能 拦截 攻击 。 而 IPS 则 是 一 种 主动 
的 积极 的 入 侵 防 范 和 阻止 系统 。 它 部 署 在 网 络 的 进出 口 处 , 当 它 检测 到 攻击 企图 后 ,就 会 
自动 地 将 攻击 包 丢 掉 或 采取 措施 将 攻击 源 阻 断 。 因 此 ,从 实用 效果 上 看 ,与 IDS 相 比 ,入 侵 
防御 系统 IPS 又 有 了 新 的 发 展 ,能 够 对 网 络 起 到 较 好 的 实时 防护 作用 。 


2. 入 侵 防护 系统 的 原理 


随 着 网 络 系统 漏洞 不 断 被 发 现 和 入侵 事件 的 不 断 增多 ,企业 网 络 遇 到 的 攻击 越 来 越 多 。 
不 过 尽管 这 些 攻 击 可 以 绕 过 传统 的 防火 墙 ,但 设置 在 网 络 周边 或 内 部 网 络 中 的 入 侵 防 护 系 
统 (IPS) 仍 然 能 够 有 效 地 阻止 这 些 攻击 ,为 那些 未 添加 补丁 或 配置 不 当 的 服务 器 提供 保护 。 

IPS 能 够 对 所 有 数据 包 仔细 检查 ,立即 确定 是 许可 还 是 禁止 这 些 包 的 访问 。IPS 拥有 
多 个 过 滤器 ,能 够 防止 系统 中 各 种 类 型 的 弱点 免 受 攻击 。 当 新 的 漏洞 或 攻击 手段 被 发 现 之 
后 ,IPS 就 会 创建 一 个 新 的 过 滤器 ,并 将 其 纳入 自己 的 管辖 之 下 ,试探 攻击 这 些 漏 洞 的 任何 
恶意 企图 都 会 受到 拦截 。 如 果 有 攻击 者 利用 第 2 层 ( 介 质 访问 控制 ) 至 第 7 层 ( 应 用 ) 的 弱点 
进行 人 侵 ,IPS 就 能 够 从 数据 流 中 检查 出 这 些 攻 击 并 加 以 阻止 。 传 统 的 防火 墙 只 能 对 第 3 
或 第 4 层 进行 检查 ,而 不 能 检测 应 用 层 的 内 容 。 

IPS 数据 包 处 理 引擎 是 专业 化 定制 的 集成 电路 , 它 集 合 了 大 规模 并 行 处 理 硬件 ,能 够 同 
时 执行 数 千 次 的 数据 包 过 滤 检 查 。 并 行 过 滤 处 理 可 以 确保 数据 包 能 够 不 间断 地 快速 通过 系 
统 , 不 会 对 速度 造成 影响 。IPS 过 滤 引 擎 对 数据 包 进行 过 滤 检查 时 ,可 以 检查 数据 包 中 的 每 
一 个 字 节 。IPS 利用 过 滤器 对 数据 流 中 的 全 部 内 容 进行 检查 。 每 个 过 滤器 都 包含 一 系列 规 
则 ,只 有 满足 这 些 规则 的 数据 包 才 会 被 确认 为 不 包含 恶意 攻击 内 容 。 为 了 确保 准确 性 ,这 些 
规则 的 定义 非常 广泛 。 在 对 传输 内 容 进行 分 类 时 ,数据 包 处 理 引 擎 必须 参照 数据 包 的 信息 
参数 ,并 将 其 解析 至 一 个 有 意义 的 域 进行 上 下 文 分 析 。 例 如 ,在 对 付 缓冲 区 溢出 攻击 时 , 引 
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擎 给 出 一 个 应 用 层 中 的 缓冲 参数 ,评估 其 特性 并 探测 是 否 存在 攻击 行为 。 为 了 防止 攻击 到 
达 攻 击 目 标 ,在 某 一 数据 流 被 确定 有 恶意 攻击 时 ,属于 该 数据 流 的 所 有 数据 包 都 将 被 丢弃 。 

作为 一 种 透明 设施 ,入 侵 防 护 系 统 是 整个 网 络 连 接 中 的 一 部 分 。 为 了 防止 IPS 成 为 网 
络 中 性 能 薄弱 的 环节 ,IPS 需要 具有 出 色 的 元 余 能 力 和 故障 切换 机 制 , 这 样 就 可 以 确保 网 络 
在 发 生 故 障 时 依然 能 够 正常 运行 。 除 了 作为 防御 前 沿 ,IPS 还 是 网 络 中 的 清洁 工具 ,能 够 清 
除 格式 不 正确 的 数据 包 和 非 关键 任务 应 用 ,使 网 络 带宽 得 到 保护 。 


3. 入 侵 防护 系统 的 分 类 


IPS 不 仅 可 进行 检测 ,还 能 在 攻击 造成 损坏 之 前 阻 断 攻 击 , 从 而 将 入 侵 检测 系统 提升 到 
一 个 新 水 平 。 

IPS 技术 包括 基于 主机 的 入侵 防护 系统 和 基于 网 络 的 入 侵 防护 系统 两 大 类 。 

(1) 基于 主机 的 入 侵 防护 系统 (HIPS) 

HIPS 通过 在 主机 /服务 器 上 安装 代理 程序 ,防止 网 络 攻 击 者 入 侵 操 作 系 统 以 及 应 用 程 
序 。HIPS 可 保护 服务 器 的 安全 漏洞 不 被 入 侵 者 所 利用 。HIPS 可 阻 断 缓冲 区 溢出 \ 改 变 登 
录 口 令 、 改 写 动 态 链接 库 等 人 侵 行为 ,整体 提升 主机 的 安全 水 平 。 在 技术 上 ,HIPS 采用 独 
特 的 服务 器 保护 途径 ,由 包 过 滤 、 状 态 包 检 测 和 实时 入 侵 检测 组 成 分 层 防 护 体 系 。 由 于 
HIPS 工作 在 受 保护 的 主机 /服务 器 上 , 它 不 但 能 利用 特征 和 行为 规则 进行 检测 ,阻止 像 组 
冲 区 溢出 之 类 的 已 知 攻击 ,还 能 防范 未 知 攻击 ,防止 针对 Web 页 面 \ 应 用 和 资源 的 任何 非法 
访问 。 

(2) 基于 网 络 的 入 侵 防护 系统 (NIPS) 

NIPS 通过 检测 流 经 的 网 络 流量 ,提供 对 网 络 系统 的 安全 保护 。 在 技术 上 ,NIPS 吸取 
了 NIDS 的 所 有 成 熟 技 术 , 包 括 特征 匹配 协议 分 析 和 异常 检测 。 特 征 匹 配 是 最 广泛 的 应 用 
技术 ,具有 准确 率 高 .速度 快 等 特点 。 基 于 状态 的 特征 匹配 不 仅 可 以 检测 攻击 行为 的 特征 ， 
也 可 以 检测 当前 网 络 的 会 话 状 态 ,避免 受到 欺骗 攻击 。 

NIPS 工作 在 网 络 上 ,直接 对 数据 包 进 行 检测 和 阻 断 ,与 具体 的 主机 /服务 器 操作 系统 
平台 无 关 。 这 种 实时 检测 和 阻 断 功能 很 有 可 能 出 现在 未 来 的 交换 机 上 。 随 着 处 理 器 性 能 的 
提高 ,每 一 层次 的 交换 机 都 有 可 能 集成 人 侵 防 护 功 能 。 


4. 应 用 入 侵 防 护 系 统 (AIP) 


近年 来 ,网 络 攻击 的 发 展 趋势 是 逐渐 转向 高 层 应 用 。 据 Gartner 分 析 , 目 前 对 网 络 的 攻 
击 有 70% 以 上 是 集中 在 应 用 层 ,并 且 这 一 数字 呈 上 升 趋势 。 应 用 层 的 攻击 有 可 能 会 造成 非 
常 严 重 的 后 果 , 比 如 用 户 账号 丢失 公司 机 密 汇 露 等 。 因 此 ,对 具体 应 用 的 有 效 保护 就 显得 
越发 重要 。 为 了 解决 日 益 突出 的 应 用 层 防护 问题 ,IPS 的 一 个 更 高 层次 的 产品 应 用 入 
侵 防护 系统 (Application Intrusion Prevention ,AIP) 出 现 并 且 得 到 日 益 广 泛 的 应 用 。 

通常 ,对 应 用 层 的 防范 比 内 网 的 防范 难度 更 大 ,因为 这 些 应 用 要 允许 外 部 的 访问 。 防 火 
墙 的 访问 控制 策略 中 必须 开放 应 用 服务 对 应 的 端口 ,如 Web 的 80 端口 。 当 黑客 通过 这 些 
端口 发 起 攻击 时 防火 墙 就 无 法 识别 和 控制 。IDS 并 不 是 针对 应 用 协议 进行 设计 的 ,所 以 同 
样 也 无 法 检测 对 相应 协议 漏洞 的 攻击 。 而 应 用 入 侵 防护 系统 AIP 则 能 够 弥补 防火 墙 和 入 
侵 检测 系统 的 不 足 ,对 特定 应 用 进行 有 效 保护 。 
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AIP 是 用 来 保护 特定 应 用 服务 (如 Web 和 数据 库 应 用 ) 的 网 络 设施 ,通常 部 署 在 应 用 服 
务 器 之 前 。 通 过 AIP 系统 安全 策略 的 控制 来 防止 基于 应 用 协议 漏洞 和 设计 缺陷 的 恶意 攻 
击 。 大 部 分 对 应 用 层 的 攻击 都 是 通过 HTTP 协议 (80 端口 ) 进 行 。 据 国外 权威 机 构 统计 ， 
97% 的 Web 站 点 存在 一 定 的 应 用 协议 问题 。 虽 然 这 些 站 点 通过 部 署 防火 墙 在 网 络 层 以 下 
进行 了 很 好 的 防范 ,但 其 应 用 层 的 漏洞 仍 可 被 利用 ,进而 受到 入 侵 和 攻击 。 因 此 对 于 Web 
等 应 用 协议 ，AIP 应 用 比较 广泛 。 通 过 制订 合理 的 安全 策略 ,AIP 能 够 对 恶意 脚本 、Cookie 
投 毒 .隐藏 域 修改 、 缓 存 溢出 、 参 数 自 改 ,强制 浏览 .SQL 插入 ` 已 知 漏洞 攻击 等 Web 攻击 进 
行 有 效 的 防范 。 虽 然 AIP 刚 出 现 近 两 年 .但 其 发 展 迅 速 。Yankee Group 预测 在 未 来 的 五 
年 里 ,AIP 将 和 防火 墙 IDS 和 反 病 毒 等 安全 技术 一 起 ,成 为 网 络 安全 整体 解决 方案 的 重要 
组 成 部 分 。 


74 网 络 扫描 与 网 络 监 听 
741 网 络 系统 漏洞 


影响 网 络 系统 安全 的 因素 很 多 ,但 不 外 乎 来 自 系统 内 部 的 漏洞 (缺陷 或 脆弱 性 ) 和 来 自 
网 络 系统 外 部 的 威胁 。 下 面 就 网 络 系统 漏洞 和 网 络 系统 受到 的 主要 威胁 进行 探讨 。 


1. 网 络 系统 漏洞 的 概念 


在 计算 机 网 络 安全 领域 ,网 络 系统 漏洞 是 指 网 络 系统 硬件 .软件 或 策略 上 存在 的 缺陷 或 
脆弱 性 。 计 算 机 网 络 本 身 存在 着 一 些 漏洞 , 非 授 权 用 户 利 用 这 些 漏洞 可 对 网 络 系统 进行 非 
法 访问 。 这 种 非法 访问 可 能 使 系统 内 数据 的 完整 性 受到 威胁 ,也 可 能 使 信息 遭 到 破坏 而 不 
能 继续 使 用 ,更 为 严重 的 是 有 价值 的 信息 被 窃取 而 不 留任 何 痕迹 。 


2. 网 络 系统 漏洞 的 主要 表现 


计算 机 网 络 系统 的 硬件 和 软件 缺陷 可 影响 系统 的 正常 运行 ,严重 时 系统 会 停止 工作 。 

1) 网 络 系统 硬件 缺陷 

网 络 系统 硬件 的 缺陷 主要 有 硬件 故障 .网络 线路 威胁 .电磁 辐射 和 存储 介质 脆弱 等 
方面 。 

。 网 络 系统 的 硬件 故障 通常 有 硬盘 故障 .电源 故障 .芯片 主 板 故障 、 驱 动 器 故障 等 。 

。 网 络 系统 的 通信 线路 面 对 各 种 威胁 就 显得 非常 脆弱 ,非法 用 户 可 对 线路 进行 物理 破 
坏 、 搭 线 窃听 .通过 未 保护 的 外 部 线路 访问 系统 内 部 信息 等 。 
。 网 络 系统 中 的 网 络 端口 传输 线路 和 各 种 处 理 机 都 有 可 能 因 屏 蔽 不 严 或 未 屏蔽 而 造 
成 电磁 信息 辐射 ,从 而 造成 有 用 信息 甚至 机 密 信息 泄露 。 
各 种 存储 器 中 存储 大 量 的 信息 ,这些 存 储 介 质 很 容易 被 盗窃 或 损坏 ,造成 信息 丢失 。 
被 丢弃 的 且 没 有 被 消 磁 的 存储 介质 中 通常 还 会 残存 相关 信息 。 

2) 软件 安全 漏洞 

软件 漏洞 是 指 在 计算 机 程序 .系统 或 协议 中 存在 的 安全 漏洞 , 它 已 成 为 被 攻击 者 用 来 非 
法 侵入 他 人 系统 的 主要 渠道 。 虽 然 网 络 系统 是 由 硬件 和 软件 共同 组 成 的 ,但 由 于 软件 程序 
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的 复杂 性 和 编程 的 多 样 性 ,软件 中 更 容易 有 意 或 无 意 地 留 下 一 些 不 易 发 现 的 安全 漏洞 ,这 些 
漏洞 恰恰 是 黑客 攻击 系统 的 首选 目标 。 显 然 , 从 安全 角度 考虑 软件 方面 的 安全 更 为 重要 。 

基于 应 用 层次 的 不 同 , 软 件 方面 的 漏洞 可 分 为 应 用 软件 漏洞 、 操 作 系统 漏洞 ,数据库 系 
统 漏 洞 .通信 协议 漏洞 和 网 络 软件 及 网 络 服务 漏洞 。 

(1) 应 用 软件 漏洞 

在 软件 程序 员 开 发 应 用 软件 时 , 常 插入 一 些小 段 程序 ,其 目的 是 测试 某 个 模块 ,或 为 了 
连接 将 来 的 更 改 和 升级 程序 ,或 是 在 维护 维修 时 为 程序 员 提 供 方便 。 这 些小 程序 也 叫 陷 门 
(陷阱 或 后 门 )。 虽 然 它们 一 般 不 为 人 们 所 知 ,但 一 旦 这 些 * 后 门 ” 洞 开 , 黑 客 们 就 会 长 驱 直 
入 ,造成 不 可 避免 的 损失 。 

(2) 操作 系统 的 安全 漏洞 

由 于 操作 系统 在 本 身 结 构 设 计 和 代码 设计 时 偏重 于 考虑 系统 使 用 的 方便 性 ,这 就 可 能 
导致 系统 在 远程 访问 .权限 控制 和 口令 等 许多 方面 存在 安全 漏洞 。 操 作 系统 主要 有 输入 / 输 
出 (IO) 非 法 访问 和 操作 系统 陷 门 两 大 类 安全 漏洞 。 

(3) 数据 库 的 安全 漏洞 

数据 库 的 全 部 数据 都 记录 在 存储 媒体 上 ,并 由 DBMS 统一 管理 。 数 据 库 应 用 中 可 能 存 
在 存储 介质 内 破坏 ,无 独立 的 用 户 身份 验证 机 制 , 对 用 户 访问 数据 库 的 时 间 和 地 点 无 限制 、 
数据 库 数 据 无 加 密 保护 等 问题 。 

(4) 通信 协议 的 安全 漏洞 

在 制定 网 络 通信 协议 TCP/IP 之 初 ,对 安全 问题 考虑 的 不 多 。TCP/IP 协议 及 其 FTP、 
E-mail.NFS、WWW 等 应 用 协议 都 存在 安全 漏洞 。TCP/IP 协议 支持 各 种 互联 网 络 ,其 异 
种 机 型 间 资 源 共 享 的 背后 会 存在 大 量 的 漏洞 和 缺陷 ,如 脆弱 的 认证 机 制 、 容 易 被 窃听 和 监 
视 、 易 受 欺 骗 . 复 杂 的 设置 和 控制 .基于 主机 的 安全 不 易 扩 展 、IP 地 址 的 不 保密 性 等 。 

(5) 网 络 软件 与 网 络 服务 漏洞 

比较 常见 的 网 络 软件 与 网 络 服务 漏洞 有 Finger 漏洞 匿名 FTP、 远 程 登录 .电子 邮件 和 
密码 设置 漏洞 等 。 

一 般 来 说 ,软件 漏洞 一 旦 被 检测 出 来 ,相关 的 软件 厂商 都 会 在 最 短 时 间 内 发 布 相应 的 补 
丁 程 序 。 但 是 问题 在 于 当 黑 客 发 现 漏洞 存在 后 ,他 就 会 尽快 设计 出 一 种 可 利用 这 些 漏洞 的 
新 型 恶意 代码 。 针 对 各 种 软件 漏洞 ,最 好 的 应 对 策略 就 是 下 载 相应 的 补丁 程序 。 


742 网 络 扫描 


防火 墙 是 设置 在 不 同 网 络 之 间 的 网 络 安全 设施 ,是 保证 网 络 安全 的 第 一 道 屏 障 。 它 
能 根据 企业 的 安全 政策 控制 (允许 或 拒绝 ) 出 和 人 网 络 的 信息 流 , 且 本 身 具 有 较 强 的 抗 攻击 
能 力 。 但 是 它 也 存在 一 些 诸如 不 能 防止 来 自 内 部 网 络 用 户 的 攻击 、 不 能 防止 绕 过 它 的 攻 
击 \ 不 能 防止 带 病毒 文件 的 传输 等 不 足 之 处 。 入 侵 检测 系统 是 网 络 安全 的 第 二 道 闸门 ， 
是 防火 墙 的 必要 补充 。 然 而 ,由 于 网 络 人 侵 检测 系统 也 存在 一 些 局 限 性 , 现 已 出 现 IDS 
躲避 技术 和 越过 网 络 人 侵 检测 系统 的 新 技术 。 因 此 ,对 付 破坏 系统 企图 的 理想 方法 就 是 
建立 一 个 完全 安全 (没有 漏洞 ) 的 系统 ,但 实际 上 这 是 根本 不 可 能 的 。 美 国威 斯 康 星 大 学 
的 Miller 公布 的 一 份 有 关 现 今 流行 的 操作 系统 和 应 用 程序 的 研究 报告 指出 ,软件 中 不 可 
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能 没有 漏洞 和 缺陷 。 
对 付 破坏 系统 企图 的 实用 方法 ,就 是 建立 比较 容易 实现 的 安全 系统 ,同时 按照 一 定 的 安 
全 策略 建立 相应 的 安全 辅助 系统 。 网 络 扫描 程序 (扫描 器 ) 就 是 这 样 一 类 实用 的 安全 系统 。 


1. 网 络 扫描 与 扫描 器 


就 目前 系统 的 安全 状况 而 言 , 系 统 中 存在 着 一 定 的 漏洞 ,如 果 我 们 能 够 根据 具体 的 应 用 
环境 , 尽 可 能 早 地 通过 网 络 扫描 来 发 现 这 些 漏 洞 , 并 及 时 采取 适当 的 处 理 措施 进行 修补 ,就 
可 有 效 地 阻止 人 侵 事件 的 发 生 。 网 络 扫描 就 是 对 计算 机 系统 或 其 他 网 络 设备 进行 相关 的 安 
全 检测 ,以便 发 现 安全 隐患 和 可 被 黑客 利用 的 漏洞 。 系 统管 理 员 可 根据 安全 策略 ,使 用 网 络 
扫描 工具 实现 对 系统 的 安全 保护 。 

网 络 扫描 是 网 络 管理 系统 的 重要 组 成 部 分 , 它 不 仅 可 以 实现 复杂 繁琐 的 信息 系统 安全 
管理 ,而 且 可 从 目标 信息 系统 和 网 络 资源 中 采集 信息 ,帮助 用 户 及 时 找 出 网 络 中 存在 的 漏 
洞 ,分 析 来 自 网 络 外 部 和 内 部 的 入 侵 信号 和 网 络 系统 中 的 漏洞 ,有 时 还 能 实时 地 对 攻击 做 出 
反应 。 

网 络 扫 描 是 保证 系统 和 网 络 安 全 必 不 可 少 的 手段 ,必须 仔细 研究 利用 。 网 络 扫 描 通 常 
采用 两 种 策略 ,一 种 是 被 动 式 策略 , 另 一 种 是 主动 式 策略 。 被 动 式 策略 是 基于 主机 的 ,对 系 
统 中 不 合适 的 设置 .脆弱 的 口令 以 及 其 他 与 安全 规则 抵触 的 对 象 进行 检 查 ; 而 主动 式 策略 
是 基于 网 络 的 ,通过 执行 一 些 脚 本 文件 模拟 对 系统 进行 攻击 的 行为 并 记录 系统 的 反应 ,从 而 
发 现 其 中 的 漏洞 。 

在 Internet 安全 领域 ,扫描 器 是 最 出 名 的 破解 工具 。 扫 描 器 实际 上 是 一 种 自动 检测 远 
程 或 本 地 主机 安全 性 弱点 的 程序 。 通 过 与 目标 主机 TCP/IP 端口 建立 连接 ,并 请 求 某 些 服 
务 ( 如 Telnet、FTP) ,记录 目标 主机 的 应 答 ,搜集 目标 主机 相关 的 信息 ,以 此 获得 关于 目标 机 
的 信息 ,理解 和 分 析 这 些 信 息 ,就 可 能 发 现 破坏 目标 机 安全 性 的 关键 因素 。 扫 描 器 的 重要 性 
在 于 把 极为 复杂 的 安全 检测 通过 程序 来 自动 完成 ,这 不 仅 减 轻 了 管理 者 的 工作 ,而且 缩短 了 
检测 时 间 ,使 问题 发 现 更 快 。 

扫描 器 并 不 直接 攻击 网 络 漏洞 ,而 是 仅仅 能 帮助 我 们 发 现 目标 主机 的 某 些 内 在 弱点 。 
一 个 好 的 扫描 器 能 对 它 得 到 的 数据 进行 分 析 , 帮 助 查找 目标 主机 的 漏洞 。 但 它 不 会 提供 进 
入 一 个 系统 的 详细 步 又 。 

网 络 扫描 器 的 主要 功能 是 仿真 黑客 人 侵 的 手法 去 测试 系统 上 有 没有 安全 漏洞 ,进而 从 
扫描 出 来 的 安全 漏洞 报告 里 告诉 使 用 者 ,系统 安全 漏洞 有 多 少 ,如 何 去 修 补 ,到 哪里 下 载 
Patches( 补 丁 程序 ) 等 。 


2. 扫描 器 分 类 


根据 工作 模式 的 不 同 ,扫描 器 一 般 可 分 为 网 络 型 扫描 器 和 主机 型 扫描 器 两 大 类 。 其 中 
前 者 基于 网 络 ,通过 请 求 /应 答 方式 远程 检测 目标 网 络 和 主机 系统 的 安全 漏洞 ; 后 者 基于 主 
机 ,通过 在 主机 系统 本 地 运行 代理 程序 来 检测 系统 漏洞 ,如 操作 系统 漏洞 扫描 器 和 数据 库 系 

(1) 网 络 型 扫描 器 

网 络 型 扫描 器 主要 是 仿真 黑客 经 由 网 络 端 发 出 封包 ,以 主机 接收 到 封包 时 的 响应 作为 
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判断 标准 ,进而 了 解 主机 的 操作 系统 .服务 及 各 种 应 用 程序 的 漏洞 。 网 络 型 扫描 器 可 以 放置 
于 Internet 端点 , 即 可 以 放 在 家 里 去 扫描 本 单位 主机 的 漏洞 ,这样 等 于 是 在 仿真 一 个 黑客 从 
Internet 去 攻击 本 单位 的 主机 。 也 可 以 把 扫描 器 放 在 防火 墙 之 前 去 进行 扫描 ,由 得 出 来 的 
报告 了 解 防火 墙 拦 截 了 多 少 非法 封包 ,由 此 可 知道 防火 墙 设 定 的 是 否 良 好 。 通 常 ,即使 有 防 
火 墙 把 关 , 也 还 是 能 扫描 出 漏洞 ,因为 除了 人 为 设 定 的 疏失 外 ,最 重要 的 是 防火 墙 还 会 打开 
一 些 特定 的 端口 ,让 封包 流 进来 。 

网 络 型 扫描 器 具有 服务 扫描 检测 后门 程序 扫描 检测 、 密 码 破 译 扫描 检测 .应 用 程序 扫 
描 检测 、 阻 断 服务 扫描 测试 、 系 统 安全 扫描 检测 和 分 析 报 表 等 功能 。 

(2) 主机 型 扫描 器 

主机 型 扫描 器 主要 是 针对 操作 系统 内 部 的 问题 作 更 深入 的 扫描 ,如 对 UNIX、Windows 
NT 、Linux 系统 的 扫描 。 它 可 弥补 网 络 型 扫描 器 只 从 外 面 通过 网 络 检查 系统 安全 的 不 足 。 
一 般 采 用 Client/Server 模式 ,有 一 个 统一 控 管 的 主 控 台 (Console) 和 分 布 于 各 重要 操作 系 
统 的 代理 (Agents) ,然后 由 Console 端 下 达 命 令 给 Agents 进行 扫描 ,各 Agents 再 回报 给 
Console 扫描 的 结果 ,最 后 由 Console 端 呈 现 出 安全 漏洞 报表 。 

主机 型 扫描 器 具有 重要 资料 的 锁定 \ 密 码 检测 、 系 统 日 志文 件 和 文字 文件 分 析 、 加 密 和 
分 析 报 表 等 功能 。 


3. 端口 扫描 


网 络 上 计算 机 之 间 的 通信 都 是 通过 端口 进行 的 ,不 同 的 通信 内 容 被 分 派 在 不 同 的 端口 
上 。 端 口 扫描 的 目的 是 探测 主机 开放 了 哪些 端口 。 实 现 的 方法 是 对 目标 主机 的 每 个 端口 发 
送信 息 , 于 是 就 用 扫描 器 对 着 目标 主机 查询 ,最 终 就 会 查 出 哪些 主机 开放 了 哪些 端口 。 某 些 
特定 的 端口 是 一 些 服务 或 程序 默认 的 。 一 些 比较 重视 安全 的 服务 器 可 能 会 更 改 默认 端口 ， 
这 样 就 比较 安全 了 ,因为 改变 端口 就 可 以 起 到 迷惑 攻击 者 的 作用 。 

一 个 端口 就 是 一 个 潜在 的 人 侵 通 道 。 对 目标 计算 机 进行 端口 扫描 ,能 得 到 许多 有 用 的 
信息 ,从 而 发 现 系 统 的 安全 漏洞 。 支 持 TCP/IP 协议 的 主机 和 设备 ,都 是 以 开放 端口 来 提供 
服务 的 。 端 口 可 以 说 是 系统 对 外 的 窗口 ,漏洞 也 往往 通过 端口 暴露 出 来 。 因 此 ,网 络 扫 描 右 
为 了 提高 扫描 效率 ,首先 需要 判断 系统 的 哪些 端口 是 开放 的 ,然后 对 开放 的 端口 执行 某 些 扫 
描 脚 本 ,以 进一步 寻找 安全 漏洞 。 

常见 的 TCP 端口 有 21H (FTP)、23H (Telnet)、25H (SMTP)、70H (Gopher)、79H 
(Finger) .80H(HTTP) .110H (POP3)、119H(News Server)、139H (NetBIOS) 等 ; 常见 的 
UDP 端口 有 53H (DNS)、69H (TFTP)、 88H (Kerberos)、110H (POP3)、119H (News 
Server) ,139H(NetBIOS) 等 。 

扫描 器 一 般 集成 了 以 下 几 种 主要 的 端口 扫描 技术 : 

(1) TCP connect O 〇 扫描 

TCP connect () 扫 描 是 最 基本 的 TCP 扫描 。 该 扫描 技术 的 一 大 优点 是 不 需要 任何 权 
限 , 系 统 中 的 任何 用 户 都 有 权利 使 用 这 个 调用 ; 另 一 大 优点 就 是 速度 快 。 但 它 的 缺点 是 很 
容易 被 发 觉 并 被 过 滤 掉 。 

(2) TCP SYN 扫描 

TCP SYN 扫描 通常 称 为 * 半 开放 ?扫描 ,这 是 因为 扫描 程序 不 必 打 开 一 个 完全 的 
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TCP 连接 。 扫 描 程 序 发 送 的 是 一 个 SYN 数据 包 , 一 个 SYN/ACK 返回 信息 表示 端口 处 
于 监听 状态 ; 一 个 RST 返回 信息 表示 端口 没有 处 于 监听 状态 。 如 果 收 到 一 个 
SYN/ACK, 则 扫描 程序 必须 再 发 送 一 个 RST 信号 ,来 关闭 这 个 连接 过 程 。 这 种 扫描 技术 
的 优点 是 一 般 不 会 在 目标 计算 机 上 留 下 记录 ,缺点 是 必须 要 有 root 权限 才能 建立 自己 的 
SYN 数据 包 。 

(3) TCP FIN 扫描 

TCP FIN 扫描 的 思路 是 关闭 的 端口 使 用 适当 的 RST 来 回复 FIN 数据 包 , 而 打开 的 端 
口 会 忽略 对 FIN 数据 包 的 回复 。 

(4) UDP recvfrom() 和 write() 扫描 

当 非 root 用 户 不 能 直接 读 到 “端口 不 能 到 达 ” 错 误 时 ,Linux 能 间接 地 在 它们 到 达 时 通 
知 用 户 。 比 如 ,对 一 个 关闭 的 端口 的 第 二 个 write() 调 用 将 失败 。 在 非 阻 塞 的 UDP 套 接 字 
上 调用 recvfrom() 时 ,如 果 ICMP 出 错 ,还 没有 到 达 时 会 返回 EAGAIN( 重 试 ); 如 果 ICMP 
到 达 时 会 返回 ECONNREFUSED( 连 接 被 拒绝 )。 

端口 扫描 的 种 类 繁多 ,但 所 有 的 扫描 方式 都 是 通过 发 送 特定 类 型 的 TCP 报 文 给 所 要 扫 
描 的 服务 器 的 特定 端口 , 诱 使 服务 器 发 送 响应 报 文 , 分 析 从 服务 器 返回 的 响应 报 文 来 推断 出 
服务 器 特定 端口 的 当前 状态 。 


4. Ping 扫描 


Ping 扫描 可 完成 映射 出 网 络 拓扑 结构 的 任务 ,为 黑客 向 网 络 攻击 做 准备 。Ping 扫描 有 
两 种 实现 方式 : 

(1) ICMP Ping 扫描 

该 类 扫描 处 于 TCP/IP 协议 的 网 络 层 , 它 向 被 扫描 的 网 络 中 的 所 有 IP 地 址 发 送 ICMP 
ECHO-REQUEST 数据 报 。 若 收 到 从 某 IP 地 址 返回 的 ICMP REPLY 数据 报 , 则 表示 拥有 
该 IP 地 址 的 主机 是 存在 的 并 处 于 活动 状态 ,扫描 者 从 而 可 统计 出 该 网 络 中 所 有 活动 主机 的 
IP 地 址 , 即 可 找到 网 络 中 所 有 存在 的 主机 ,得 到 整个 网 络 的 拓扑 结构 。 当 有 防火 墙 存在 或 
主机 不 响应 ICMP ECHO-REQUEST 数据 报时 ,主机 将 不 返回 ICMP REPLY 数据 报 ,所 以 
在 这 种 情况 下 ,ICMP Ping 扫描 将 不 能 得 到 该 网 络 中 全 部 活动 主机 的 IP 地 址 ,从 而 导致 网 
络 信息 的 缺失 。 

(2) TCP Ping 扫描 

该 扫描 方式 处 于 TCP/IP 协议 的 传输 层 。 它 也 向 被 扫描 的 网 络 中 发 送 特定 的 数据 报 ， 
根据 网 络 中 主机 返回 的 信息 得 到 网 络 的 拓扑 结构 。 只 是 其 使 用 TCP-ACK 报 文 段 代替 
ICMP 返回 请 求 数据 报 发 送 到 目标 网 络 中 ,网 络 上 所 有 的 活动 主机 会 向 扫描 者 返回 一 个 
TCP-RST 报 文 段 。 扫 描 者 收 到 TCP-RST 报 文 段 .说明 该 报 文 段 的 源 IP 地 址 的 主机 是 存 
在 并 打开 的 。 因 为 防火 墙 允许 外 部 网 访问 Web 网 站 ,所 以 TCP Ping 向 被 扫描 网 络 的 80 端 
口 发 送 TCP-ACK 报 文 段 可 穿 透 防火 墙 ,到 达 防 火 墙 后 面 网 络 中 的 主机 ,因此 该 扫描 方式 可 
获得 防火 墙 背 后 的 内 部 网 信息 。 
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743 网 络 监听 


.网络 监听 的 概念 


网 络 监听 是 管理 员 为 了 进行 网 络 安全 管理 ,利用 相应 的 工具 软件 监视 网 络 的 状态 和 数 
据 流 动情 况 , 以 便 及 时 发 现 网 络 中 的 异常 情况 和 不 安全 因素 。 网 络 监听 工具 就 是 提供 给 管 
理 员 使 用 的 一 类 网 络 监听 工具 软件 。 使 用 这 种 工具 软件 ,网 络 管理 员 可 以 监视 网 络 的 状态 、 
数据 流动 情况 以 及 网 络 上 传输 的 信息 。 

网 络 监听 可 以 在 网 上 的 任何 一 个 位 置 实施 ,如 局 域 网 中 的 一 人 台 主 机 、 网 关上 或 远程 网 络 
的 调制 解 调 器 之 间 等 。 但 监听 效果 最 好 的 地 方 是 在 网 关 、 路 由 器 防火 墙 一 类 的 设备 处 。 使 
用 最 方便 的 是 在 一 个 以 太 网 中 的 任何 一 台 上 网 的 主机 上 进行 监听 。 

但 是 网 络 监听 也 是 黑客 们 常用 的 手段 。 当 信息 以 明文 形式 在 网 络 上 传输 时 ,黑客 便 可 
以 使 用 网 络 监听 方式 来 进行 攻击 。 将 网 络 接口 设置 在 监听 模式 , 便 可 以 源源 不 断 地 将 网 上 
传输 的 信息 截获 。 当 黑客 成 功 地 登录 一 台 网 络 上 的 主机 ,并 取得 这 台 主 机 的 超级 用 户 权限 
之 后 ,往往 要 扩大 战果 ,尝试 登录 或 夺取 对 网 络 中 其 他 主机 的 控制 权 。 

对 于 一 个 施行 网 络 攻击 的 人 来 说 ,能 攻破 网 关 、 路 由 器 、 防 火 墙 的 情况 极为 少见 。 在 这 
里 完全 可 以 由 安全 管理 员 安装 一 些 设备 ,对 网 络 进行 监控 ,或 者 使 用 一 些 专门 的 设备 ,运行 
专门 的 监听 软件 。 然 而 ,潜入 一 台 不 引 人 注 意 的 计算 机 中 ,悄悄 地 运行 一 个 监听 程序 ,黑客 
是 完全 可 以 做 到 的 。 监 听 是 非常 消耗 CPU 资源 的 ,在 一 个 担负 繁忙 任务 的 计算 机 中 进行 
监听 ,可 能 会 立即 被 管理 员 发 现 ,因为 计算 机 的 响应 速度 慢 得 令 人 难以 忍受 。 

对 于 一 台 联 网 的 计算 机 ,最 方便 的 是 在 以 太 网 中 进行 监听 。 这 只 需 安装 一 个 监听 软件 ， 
然后 就 可 以 坐 在 机 器 旁 浏 览 监 听 到 的 信息 了 。 


2. 网 络 监听 的 检测 


在 通常 的 网 络 环境 之 下 ,用户 的 信息 包括 口令 都 是 以 明文 方式 在 网 上 传输 的 ,因此 通过 
网 络 监听 而 获得 用 户 信息 并 不 是 一 件 很 难 的 事情 ,只 要 掌握 有 初步 的 TCP/IP 协议 知识 就 
可 以 轻松 地 监听 到 了 。 网 络 监听 本 来 是 为 了 管理 网 络 ,监视 网 络 的 状态 和 数据 流动 情况 ,但 


前 提 条 件 , 那 就 是 监听 只 能 在 同一 网 段 的 主机 上 进行 ,这 里 同一 网 段 是 指 物理 上 的 连接 。 
为 不 是 同一 网 段 的 数据 包 ,在 网 关 就 被 滤 掉 , 传 不 到 另外 的 网 段 。 和 否则 一 个 Internet 上 的 一 
台 主 机 便 可 以 监视 整个 Internet 了 。 

网 络 监 听 是 很 难 被 发 现 的。 运行 网 络 监听 程序 的 主机 只 是 被 动 地 接收 在 局 域 网 上 传输 
的 信息 ,并 没有 主动 的 行动 。 既 不 会 与 其 他 主机 交换 信息 ,也 不 能 修改 在 网 上 传输 的 信息 
包 。 这 些 都 决定 了 对 网 络 监听 的 检测 是 非常 困难 的 。 

一 个 理论 上 可 行 的 检测 监听 的 办 法 是 搜索 所 有 主机 上 运行 的 进程 。 但 这 几乎 是 不 可 能 
的 ,因为 我 们 很 难 同时 检查 所 有 主机 上 的 进程 。 但 是 至 少 管理 员 可 以 确定 是 否 有 一 个 进程 
被 从 管理 员 机 器 上 启动 。 使 用 UNIX 和 Windows NT 的 机 器 可 以 很 容易 地 通过 检查 运行 
进程 得 到 当前 进程 的 清单 。 
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一 般 来 讲 , 人 们 真正 关心 的 是 那些 秘密 数据 (如 用 户 名 和 口令 ) 的 安全 传输 不 被 监听 和 
偷 换 。 如 果 这 些 信 息 以 明文 形式 传输 ,就 很 容易 被 截获 而 且 被 阅读 。 对 这 些 信息 进行 加 密 
是 一 个 很 好 的 办 法 ,如果 利 用 称 为 安全 外 过 (Secure Shell,SSH) 的 协议 进行 加 密 ,是 很 容易 
实现 的 ,而 且 效 率 很 高 。SSH 是 一 种 在 像 Telnet 那样 的 应 用 环境 中 提供 保密 通信 的 协议 ， 
它 实现 了 一 个 密 钥 交 换 , 以 及 主机 及 客户 端 认 证 。 它 像 许 多 协议 一 样 ,是 建立 在 客户 /服务 
器 模型 之 上 的 。SSH 完全 排除 了 在 不 安全 的 信道 上 通信 被 监听 的 可 能 性 。 


3. 网 络 监听 的 防范 


(1) 从 逻辑 或 物理 上 对 网 络 分 段 

网 络 分 段 通常 被 认为 是 控制 网 络 广播 风暴 的 一 种 基本 手段 ,但 其 实 也 是 保证 网 络 安全 
的 一 项 措施 。 其 目的 是 将 非法 用 户 与 敏感 的 网 络 资源 相互 隔离 ,从 而 防止 可 能 的 非法 监听 。 

(2) 使 用 交换 式 集线器 

对 局 域 网 的 中 心 交换 机 进行 网 络 分 段 后 ,局 域 网 监听 的 危险 仍然 存在 。 这 是 因为 网 络 
最 终 用 户 的 接 入 往往 是 通过 分 支 集线器 而 不 是 中 心 交换 机 ,而 分 支 集 线 器 通常 是 共享 式 集 
线 器 。 这 样 , 当 用 户 与 主机 进行 数据 通信 时 ,两 台 计 算 机 之 间 的 数据 包 ( 单 播 包 ) 是 会 被 同一 
台 集 线 器 上 的 其 他 用 户 所 监听 。 因 此 ,应 该 以 交换 式 集线器 代替 共享 式 集线器 ,使 单 播 包 仅 
在 两 个 节点 之 间 传 送 , 从 而 防止 非法 监听 。 

(3) 使 用 加 密 技术 

数据 经 过 加 密 后 ,虽然 通过 监听 仍然 可 以 得 到 传送 的 信息 ,但 这 些 信息 是 无 法 理解 的 密 
文 。 使 用 加 密 技术 的 缺点 是 影响 数据 传输 速度 。 系 统管 理 员 和 用 户 往 往 需要 根据 网 络 速度 
和 安全 性 要 求 进行 折 中 考虑 。 

(4) 划分 VLAN 

运用 VLAN( 虚 拟 局 域 网 ) 技 术 , 将 以 太 网 的 广播 式 通信 变 为 点 到 点 通信 ,这 样 可 以 防 
止 大 部 分 基于 网 络 监听 的 入 侵 。 


744 网 络 嗅 探 器 


1. Sniffer 的 概念 


Sniffer( 网 络 嗅 探 器 ) 是 一 种 常用 的 收集 和 分 析 网 络 数据 的 工具 (程序 ) 。 它 接收 和 分 析 
的 数据 可 以 是 用 户 的 账号 和 密码 ,也 可 以 是 一 些 商 用 机 密 数据 等 。 在 Internet 安全 隐患 中 
扮演 重要 角色 之 一 的 Sniffer 已 受到 人 们 越 来 越 多 的 关注 。 利 用 Sniffer 能 够 收集 和 窃听 网 
络 报 文 。 网 上 的 Sniffer 可 以 理解 为 一 个 安装 在 计算 机 上 的 窃听 工具 , 它 可 以 用 来 窃听 计算 
机 在 网 络 上 的 信息 。 

当然 ,系统 管理 员 可 使 用 Sniffer 来 分 析 网 络 信息 流量 并 且 找 出 网 络 上 何 处 发 生 问 
题 。 一 个 安全 管理 员 可 以 同时 用 多 种 Sniffer, 将 它们 放置 在 网 络 的 各 处 ,形成 一 个 入 侵 警 
报 系统 。 因 此 ,对 于 系统 管理 员 来 说 Sniffer 是 一 个 非常 好 的 工具 ,但 是 它 同 样 是 一 个 可 
被 黑客 使 用 的 工具 。 黑 客 在 人 侵 网 络 前 ,往往 会 利用 Sniffer 对 网 络 进行 嗅 探 , 获 得 用 户 
名 和 账号 、 信 用 卡号 码 、 个 人 信息 和 其 他 的 信息 等 ,或 找 出 网 络 的 漏洞 .进而 攻击 网 络 。 因 
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此 说 ,Sniffer 也 是 一 把 * 双 刃 剑 ”, 既 可 以 为 网 络 管理 员 所 用 做 有 益 的 事 , 也 可 被 黑客 利用 起 
破坏 作用 。 

在 网 络 中 ,网 络 管理 员 可 使 用 Sniffer 分 析 网 络 信息 流量 并 且 找 出 网 络 上 何 处 发 生 问 
题 。 通 过 Sniffer 还 可 以 诊断 出 大 量 不 可 见 的 模糊 问题 ,这 些 问题 涉及 两 台 力 至 多 台 计 算 机 
之 间 的 通信 ,有 些 甚至 涉及 到 各 种 协议 。 借 助 于 Sniffer, 管 理 员 可 以 方便 地 确定 出 哪些 通 
信 量 属于 哪个 网 络 协议 ,安装 主要 通信 协议 的 主机 是 哪 一 台 , 大 多 数 通信 目的 地 是 哪些 主 
机 , 报 文 发 送 占 用 多 少时 间 和 主机 的 报 文 传送 间隔 等 ,这 些 信 息 为 管理 员 判 断 网 络 问题 、 管 
理 网 络 区 域 提供 了 非常 重要 的 依据 。 


2. Sniffer 的 功能 


(1) 专家 分 析 系 统 

Sniffer 与 其 他 网 络 协议 分 析 仪 最 大 的 差别 在 于 它 的 专家 系统 (Expert System)。 有 了 
专家 系统 ,用 户 无 需 知道 哪些 数据 包 构成 的 网 络 问题 ,也 不 必 熟 悉 网 络 协议 ,更 不 用 去 了 解 
这 些 数据 包 的 内 容 , 便 能 轻松 地 解决 问题 。 此 外 ,Sniffer 还 提供 了 专家 配制 功能 ,用 户 可 以 
自己 设 定 专家 系统 判断 故障 发 生 的 触发 条 件 。Sniffer 能 够 自动 实时 地 监视 网 络 .捕捉 数 
据 、 识 别 网 络 配置 ,自动 发 现 网 络 故障 并 进行 报警 。 

(2) 实时 的 监控 统计 和 报警 

根据 用 户 习惯 ,Sniffer 可 提供 实时 数据 或 图 表 显 示 统 计 结 果 ,统计 内 容 包括 网 络 统计 、 
协议 统计 差错 统计 ` 站 统计 、 帧 长 统计 等 内 容 。 

(3) 报表 生成 

Sniffer 报表 生成 器 允许 用 户 创建 图 形 报告 。 那 些 经 预先 存储 的 、 易 于 生成 的 报告 可 以 
提供 快速 显示 受 监 测 网 段 的 全 部 统计 数据 以 及 网 络 层 主机 、 和 矩阵 和 协议 分 配 。Sniffer 报表 
生成 器 在 网 络 性 能 下 降 以 致 成 为 严重 的 网 络 故 障 之 前 ,协助 用 户 预 测 并 更 正 这 些 问题 。 

(4) Sniffer 的 增强 功能 

Sniffer 还 提供 故障 定位 及 排除 、 预 防 问 题 ,优化 性 能 和 整体 网 络 运行 的 健康 分 析 及 发 
展 趋势 分 析 等 增强 功能 。 


75 计算 机 紧急 响应 
75.1 紧急 响应 


1. 紧急 响应 的 概念 


互联 网 是 一 个 高 速 发 展 . 自 成 一 体 且 又 结构 复杂 的 组 织 ,很 难 进行 统一 管理 ,因此 网 络 
安全 工作 的 管理 也 很 困难 。 随 着 网 络 用 户 的 不 断 增多 、 安 全 缺陷 的 不 断 发 现 和 广大 用 户 对 
网 络 的 日 益 依赖 ,只 从 防护 方面 考虑 网 络 安全 问题 已 无 法 保证 满足 要 求 。 这 就 需要 一 种 服 
务 ,该 服务 能 够 在 安全 事件 发 生 时 进行 紧急 援助 ,避免 造成 更 大 的 损失 。 这 种 服务 就 是 紧急 
响应 。 

在 现实 网 络 应 用 中 ,紧急 响应 环节 往往 没有 得 到 真正 的 重视 。 用 户 总 是 觉得 已 经 投入 
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了 很 多 资金 购置 了 全 套 的 网 络 设备 ,不 能 理解 为 什么 还 要 不 断 地 支出 一 笔 似乎 看 不 到 回报 
的 费用 。 可 是 现实 越 来 越 证 明 , 缺 少 了 高 质量 的 紧急 响应 ,攻击 者 总 是 可 以 想 办 法 进入 系 
统 , 网 络 就 存在 安全 风险 。 

1988 年 美国 的 莫 里 斯 蠕虫 事件 ,导致 上 千 台 计算 机 崩 演 ,造成 了 巨大 的 损失 。 使 人 们 
认识 到 网 络 安全 状况 的 脆弱 性 和 突 发 性 ,以 及 对 网 络 安全 事件 进行 紧急 响应 的 重要 性 。 
1989 年 在 美国 国防 部 的 资助 下 , 卡 内 基 梅 隆 大 学 软件 工程 研究 中 心 成 立 了 世界 上 第 一 个 计 
算 机 紧急 响应 小 组 协调 中 心 (Computer Emergency Response Team / Coordination Center， 
CERT/CC)。 十 余年 来 ,CERT 在 反击 大 规模 的 网 络 入 侵 方 面 起 到 了 重要 作用 。CERT 的 
成 功 经 验 为 许多 国家 所 借鉴 。 许 多 国家 和 一 些 网 络 运营 商 以 及 一 些 大 企 事业 单位 都 相继 成 
立 了 相应 的 计算 机 紧急 响应 小 组 。 我 国 的 计算 机 紧急 响应 小 组 简称 CNCERT ,不 同 机 构 也 
有 相应 的 计算 机 紧急 响应 小 组 ,如 上 海 交通 大 学 的 计算 机 紧急 响应 小 组 叫 sjtu CERT。 国 
际 上 众多 的 计算 机 紧急 响应 小 组 (CERT) 组 织 了 一 个 紧密 合作 的 国际 性 组 织 一 一 事件 响应 
与 安全 组 织 论坛 (FIRST)。 各 小 组 通过 FIRST 论坛 共享 信息 ,互通 有 无 ,成 为 打击 计算 机 
网 络 犯罪 的 一 个 联盟 。 


2. 紧急 响应 的 主要 阶段 


紧急 响应 可 分 为 以 下 儿 个 阶段 的 工作 : 准备 ,事件 检测 、 抑 制 , 根 除 、 恢 复 、 报 告 等 。 

。 准备 阶段 。 在 事件 真正 发 生 之 前 应 该 为 事件 响应 做 好 准备 ,这 一 阶段 十 分 重要 。 准 
备 阶段 的 主要 工作 包括 建立 合理 的 防御 和 控制 措施 ,建立 适当 的 策略 和 程序 ,获得 
必要 的 资源 和 组 建 响应 队伍 等 。 

，。 检测 阶段 。 检 测 阶段 要 做 出 初步 的 动作 和 响应 。 根 据 获 得 的 初步 材料 和 分 析 结 果 ， 
估计 事件 的 范围 ,制订 进一步 的 响应 战略 ,并 且 保留 可 能 用 于 司法 程序 的 证 据 。 

。 抑制 阶段 。 抑 制 的 目的 是 限制 攻击 的 范围 。 抑 制 措施 十 分 重要 ,因为 太 多 的 安全 事 
件 可 能 迅速 失控 ,典型 的 例子 就 是 具有 蠕虫 特征 的 恶意 代码 的 传播 。 可 能 的 抑制 策 
略 一 般 包括 : 关闭 所 有 的 系统 ,从 网 络 上 断 开 相关 系统 ,修改 防火 墙 和 路 由 器 的 过 
滤 规 则 ,封锁 或 删除 被 攻破 的 登录 账号 ,提高 系统 或 网 络 行为 的 监控 级 别 , 设 置 陷 
阱 ,关闭 服务 ,反击 攻击 者 的 系统 等 。 

。 根除 阶段 。 在 事件 被 抑制 之 后 ,通过 对 有 关 恶 意 代码 或 行为 的 分 析 结 果 , 找 出 事件 
根源 并 彻底 清除 。 对 于 单机 上 的 事件 ,主要 可 以 根据 各 种 操作 系统 平台 的 具体 检查 
和 根除 程序 进行 操作 ; 但 是 大 规模 爆发 的 恶意 程序 几乎 都 带 有 蠕虫 性 质 ,要 根除 各 
个 主机 上 的 这 些 恶意 代码 ,是 一 个 十 分 艰巨 的 任务 。 很 多 案例 的 数据 表明 ,众多 的 

户 并 没有 真正 关注 他 们 的 主机 是 否 已 经 遭受 入 侵 ,有 的 甚至 持续 一 年 多 , 任 由 感 
染 蠕 虫 的 主机 在 网 络 中 不 断 地 搜索 和 攻击 别 的 目标 。 造 成 这 种 现象 的 重要 原因 是 
各 网 络 之 间 缺 乏 有 效 的 协调 ,或 者 是 在 一 些 商业 网 络 中 ,网 络 管理 员 对 接 人 到 网 络 
中 的 子 网 和 用 户 没有 足够 的 管理 权限 。 

。 恢复 阶段 。 恢 复 阶 段 的 目标 是 把 所 有 被 攻破 的 系统 和 网 络 设备 彻底 恢复 到 它们 正 
常 的 任务 状态 。 恢 复工 作 应 该 十 分 小 心 ,避免 出 现 误 操作 导致 数据 的 丢失 。 另 外 ， 
恢复 工作 中 如 果 涉 及 到 机 密 数据 ,需要 遵照 机 密 系统 的 额外 恢复 要 求 进行 。 对 不 同 
任务 恢复 工作 的 承担 单位 ,要 有 不 同 的 担保 。 如 果 攻 击 者 获得 了 超级 用 户 的 访问 
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权 , 一 次 完整 的 恢复 后 应 该 强制 性 地 修改 所 有 的 口令 。 

。 报告 和 总 结 阶段 。 这 是 最 后 一 个 阶段 ,但 却 是 绝对 不 能 忽略 的 重要 阶段 。 这 个 阶段 
的 目标 是 回顾 并 整理 发 生 事件 的 各 种 相关 信息 , 尽 可 能 地 把 所 有 情况 记录 到 文档 
中 。 这 些 记录 的 内 容 , 不 仅 对 有 关 部 门 的 其 他 处 理工 作 具 有 重要 意义 ,而 且 对 将 来 
应 急 工 作 的 开展 也 是 非常 重要 的 积累 。 


752 密 钠 技术 


应 急 处 理 的 常用 技术 和 前 沿 技术 有 蜜 饶 技 术 、 漏 洞 再 现 及 状态 模拟 应 答 技术 、 沙 盒 技 
术 , 状 态 追 踪 技 术 、 应 用 层 协议 分 析 技 术 等 。 在 这 里 简单 介绍 蜜 铅 技 术 。 


1. 蜜 缸 技术 概述 


蜜 饶 (HoneyPot) 系 统 是 试图 将 攻击 者 从 关键 系统 引诱 开 并 能 记录 其 一 举 一 动 的 诱骗 
系统 。 蜜 饶 系 统 充满 了 看 来 很 有 诱惑 力 的 信息 ,但 是 这 些 信息 实际 上 是 一 个 “陷阱 ”。 当 检 
测 到 对 蜜 饶 系 统 的 访问 时 ,很 可 能 就 有 攻击 者 冯 和 人。 蜜 饶 系 统 的 另 一 个 目的 是 诱惑 攻击 者 
在 该 系统 上 浪费 时 间 ,以 延缓 对 真正 目标 的 攻击 。 

老练 的 人 侵 者 会 想 尽 一 切 办 法 来 掩盖 自己 的 痕迹 。 要 想 进行 监视 而 不 惊动 这 些 人 侵 者 
是 十 分 困难 的 。 这 时 ,就 可 以 利用 蜜 铅 系 统 进行 监视 。 

利用 蜜 镀 技 术 构 建 一 个 蜜 色 系 统 , 主 要 就 是 要 观察 人 侵 者 ,收集 信息 。 蜜 铅 系 统 的 精 骨 
就 是 它 的 监视 功能 。 利 用 蜜 饶 系 统 能 从 尽 可 能 多 的 来 源 收集 尽量 多 的 信息 ,虽然 收集 到 的 
许多 数据 可 能 毫 无 用 处 ,但 监视 系统 任 一 部 分 崩溃 或 是 安全 受到 威胁 ,都 不 应 该 导致 蜜 饶 系 
统 丧 失 功 能 。 因 此 ,一 方面 ,构建 蜜 饶 系 统 从 单一 的 模仿 系统 到 分 布 在 网 络 的 正常 系统 和 资 
源 中 ,利用 闲置 的 服务 端口 来 充当 欺骗 ; 另 一 方面 ,利用 计算 机 系统 的 多 宿主 能 力 , 使 只 有 
一 块 以 太 网 卡 的 计算 机 具有 多 个 IP 地 址 ,而 且 每 个 IP 地址 还 具有 它们 自己 的 MAC 地 址 。 
这 项 技术 可 用 于 建立 填充 一 大 段 地 址 空间 的 欺骗 ,使 人 侵 者 很 难 区 分 哪些 服务 是 真 , 哪 些 服 
务 是 假 ,浪费 人 侵 者 的 人 侵 时 间 ,消耗 和 人 侵 者 的 资源 ,从 而 可 以 更 好 地 观察 入 侵 的 行为 和 方 
式 。 通 过 网 络 流量 仿真 、 网 络 动态 配置 ,多 重地 址 转换 和 组 织 信息 欺骗 等 来 增强 网 络 欺骗 ， 
这 些 技 术 的 应 用 和 研究 是 蜜 饶 技 术 不 断 发 展 的 主要 方向 。 当 入 侵 者 进入 一 个 蜜 钢 系 统 时 ， 
他 的 目的 无 非 是 获得 系统 信息 或 利用 系统 资源 入 侵 别 的 系统 。 这 时 一 方面 可 通过 模仿 网 络 
流量 (如 采用 实时 方式 或 重 现 方式 复制 真正 的 网 络 流量 并 限制 外 发 的 数据 包 ) 来 限制 人 侵 者 
利用 系统 资源 入 侵 别 的 系统 ; 另 一 方面 ,可 通过 网 络 动态 配置 (如 模仿 实际 网 络 工作 时 间 、 
人 员 的 登录 状况 等 ) 多 重地 址 转换 (如 动态 设 定 IP 地 址 或 将 欺骗 服务 绑 定 在 与 提供 真实 服 
务 主机 相同 类 型 和 配置 的 主机 上 ) 和 组 织 信息 欺骗 (如 构建 DNS 的 虚拟 管理 系统 、NFS 的 
虚拟 服务 系统 ) 等 ,使 人 侵 者 获得 的 系统 信息 是 设计 者 提供 的 欺骗 信息 。 


2. 密 缸 技术 的 实现 


蜜 镀 系 统 是 一 个 诱骗 系统 ,引诱 黑客 前 来 攻击 ; 蜜 饶 系 统 也 是 一 个 情报 收集 系统 。 
此 , 当 攻 击 者 入 侵 后 ,通过 蜜 缸 系统 就 可 以 知道 他 是 如 何 得 腺 的 ,随时 了 解 针 对 网 络 系统 服 
务 器 发 动 的 最 新 攻击 和 漏洞 。 蜜 缸 系 统 还 可 以 通过 窗 听 黑 客 之 间 的 联系 ,收集 黑客 所 用 的 
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各 种 工具 ,并 且 人 掌握 他 们 的 社交 网 络 。 

设置 蜜 饶 系 统 并 不 难 , 只 要 在 外 部 因特网 上 有 一 台 计 算 机 和 运行 没有 打上 补丁 的 微软 
Windows 系统 或 者 Red Hat Linux 系统 即 可 。 因 为 黑客 可 能 会 设 陷 阱 ,以 获取 计算 机 的 日 
志和 审查 功能 。 在 计算 机 和 因特网 连接 部 位 安置 一 套 蜜 饶 系 统 ,这 样 就 可 悄悄 记录 下 进出 
计算 机 的 所 有 流量 ,然后 静 静 地 坐 下 来 ,等 待 攻击 者 自 投 罗网 。 

蜜 饶 系 统 的 监控 者 只 要 记录 下 进出 系统 的 每 个 数据 包 ,就 能 够 对 黑客 的 所 作 所 为 一 清 
二 楚 。 蜜 饶 系 统 本 身 的 日 志文 件 也 是 很 好 的 数据 来 源 , 但 这 些 日 志文 件 很 容易 被 攻击 者 删 
除 。 所 以 通常 的 办 法 ,就 是 让 蜜 缸 系统 向 处 于 同一 网 络 上 ,但 防御 机 制 更 完善 的 远程 系统 日 
志 服 务 器 发 送 日 志 备份 。 


3. 蜜 缸 技术 的 优势 


蜜 钢 技 术 的 优点 之 一 就 是 可 大 大 减少 所 要 分 析 的 数据 。 在 通常 的 网 站 或 邮件 服务 器 
上 ,攻击 流量 常会 被 合法 流量 所 活 没 ,而 进出 蜜 铅 系 统 的 数据 大 部 分 是 被 “过 滤 ” 出 的 攻击 流 
量 , 因 而 ,浏览 数据 、 查 明 攻击 者 的 实际 行为 也 就 容易 多 了 。 

蜜 铅 系 统 主要 是 一 种 研究 工具 ,但 同样 有 着 真正 的 商业 应 用 。 把 蜜 铅 系 统 设置 在 与 网 
络 系统 的 Web 服务 器 或 邮件 服务 器 相 邻 的 IP 地 址 上 ,就 可 以 了 解 它 所 遭受 到 的 攻击 。 

蜜 久 技术 是 现 阶段 诱骗 技术 的 主要 应 用 。 一 个 “ 蜜 钢 " 就 是 一 个 用 来 观测 入 侵 者 如 何 探 
测 并 最 终 人 侵 系 统 的 系统 ,这 意味 着 它 包 含 一 些 并 不 威胁 网 络 系统 的 机 密 数 据 或 应 用 程序 ， 
同时 对 于 入 侵 者 来 说 又 具有 很 大 的 诱惑 力 。 网 络 上 的 一 台 计 算 机 表面 看 来 像 一 台 普 通 的 机 
器 ,但 对 它 通过 一 些 特殊 配置 就 可 引诱 潜在 的 黑客 并 捕获 他 们 的 踪迹 。“ 蜜 饶 ” 并 不 是 用 来 
抓获 入 侵 者 ,而 是 只 想 知道 入 侵 者 在 并 不 知道 自己 被 观测 的 情况 下 如 何 工 作 。 入 侵 者 果 在 
“ 蜜 铅 " 里 的 时 间 越 长 ,他们 的 行为 就 暴露 的 越 多 。 而 “ 蜜 铅 ” 收 集 到 的 这 些 信息 可 以 被 用 来 
评估 入 侵 者 的 技术 水 平 ,了 解 他 们 使 用 的 攻击 工具 。 通 过 了 解 他 们 使 用 的 工具 和 思路 ,可 以 
更 好 地 保护 我 们 的 系统 和 网 络 。 而 且 利用 蜜 缸 系统 收集 的 信息 对 那些 从 事 网 络 安全 威胁 趋 
势 分 析 的 人 来 说 也 是 有 价值 的 。 

蜜 钢 技 术 充 分 体现 了 网 络 入侵 检测 系统 的 防御 功能 ,尤其 对 收集 入 侵 者 的 威胁 信息 或 
收集 证 据 来 采取 法 律 措施 至 关 重要 。 
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科技 的 进步 ,总 是 带 来 技术 的 飞 路 ,技术 的 飞跃 又 总 是 带 来 新 的 课题 。 如 今 ,计算 机 病 
毒 变 得 非常 活跃 ,木马 ,蠕虫 .后 门 病毒 等 轮番 攻击 互联 网 。2000 年 以 来 ,由 于 病毒 的 基本 
技术 和 原理 被 越 来 越 多 的 人 所 掌握 ,新 病毒 的 出 现 以 及 原 有 病毒 的 变种 层出不穷 ,病毒 的 增 
长 速度 也 远 远 超 过 以 往 任何 时 期 。 根 据 最 新 的 病毒 统计 报告 表明 , 仅 2008 年 上 半年 新 增 病 
毒 就 达 11 万 余 种 ,其 中 以 盗 取 用 户 信息 为 主 的 木马 程序 占 到 了 70%。 

下 面 就 以 市 面 上 流行 的 杀毒 软件 一 一 卡巴 斯 基 为 例 介 绍 查 杀 病 毒 的 过 程 ( 卡 巴 斯 基 软 
件 的 下 载 和 安装 就 不 在 此 介绍 了 )。 图 7. 2 所 示 为 卡巴 斯 基 反 病毒 软件 系统 的 主 界面 。 
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[3 二 巴 斯 基 上 反 病 毒 56-0 个 人 版 


于 mw 


pum 


保护 :正在 运行 
了 | 计算 机 保护 状态 
© 没有 检测 到 在 险 
加 病 要 竺 征 库 版 本 : 2008-9-z1 8:34:56 
加 所 有 保护 组 件 正在 运行 


搓 计 


图 7.2 卡巴 斯 基 反 病毒 软件 系统 主 界面 


1. 卡巴 斯 基 反 病毒 软件 简介 


卡巴 斯 基 反 病毒 软件 单机 版 为 家 庭 用 户 的 个 人 电脑 提供 超级 病毒 防护 , 它 具 有 最 尖 
端的 反 病毒 技术 ,时 刻 监 控 病 毒 可 能 入 侵 的 途径 。 同 时 该 产品 应 用 独 有 的 iCheckerTM 
技术 ,使 处 理 速 度 比 同类 产品 快 3 倍 , 而 且 它 还 应 用 第 二 代 启 发 式 病毒 分 析 技 术 识别 未 
知 恶 意 程序 代码 ,成 功率 约 达 100%。 目 前 卡巴 斯 基 病 毒 数据 库 样本 数 已 经 超过 10 万 
种 ,并 且 拥 有 世界 上 最 快 的 升级 速度 ,每 小 时 常规 升级 一 次 ,以 使 系统 随时 保持 抗御 新 病 
毒 侵害 的 能 力 。 

卡巴 斯 基 反 病毒 软件 可 以 基于 SMTP/POP3 协议 来 检测 进出 系统 的 邮件 ,可 实时 扫描 
各 种 邮件 系统 全 部 接收 和 发 出 的 邮件 ,检测 其 中 的 所 有 附件 ,包括 压缩 文件 和 文档 . 伐 入 式 
OLE 对 象 及 邮件 体 本 身 。 它 还 新 增加 了 个 人 防火 墙 模块 ,可 有 效 保护 运行 Windows 操作 
系统 的 PC ,探测 对 端口 的 扫描 封锁 网 络 攻击 并 向 管理 员 提 出 报告 ,系统 可 在 隐形 模式 下 工 
作 ,封锁 所 有 来 自 外 部 网 络 的 请 求 ,使 用 户 隐 形 和 安全 地 在 网 上 邀 游 。 

卡巴 斯 基 反 病毒 软件 可 检测 出 上 千 种 以 上 的 压缩 格式 文件 和 文档 中 的 病毒 ,并 可 清除 
ZIP、ARJ、CAB 和 RAR 文件 中 的 病毒 。 卡 巴 斯 基 提供 7X24 小 时 全 天 候 技 术 服务 。 


2. 卡巴 斯 基 反 病毒 软件 应 用 实例 


利用 卡巴 斯 基 反 病毒 软件 查 杀 病毒 的 过 程 如 下 : 

(1) 打开 卡巴 斯 基 系 统 (6.0 个 人 版 ) ,系统 主 界面 如 图 7.2 所 示 。 

(2) 我 们 发 现 主 界面 左 侧 有 一 个 扫描 选项 。 点 选 它 之 后 会 出 现 三 个 选项 ,卡巴 斯 基 按 
照 扫描 的 范围 不 同 分 为 关键 区 域 我 的 电脑 和 启动 对 象 三 个 扫描 区 域 ,如 图 7. 3 所 示 。 可 以 
根据 扫描 范围 的 不 同 选择 相应 的 选项 进行 操作 。 
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LF 巴 其 其 反 策 韦 “60 个 天 二 


Kaspersky, 
Anti-Virus 
Ld 保护 扫描 :从 不 启动 
QD | go 
关键 区 域 口 合 邮 人 # 数 据 库 
我 的 电脑 口 2 sysTEM(c3) 
启动 对 


口 电 ovo 3b (F:) 


安全 级 别 : 
操作 : 
ML@ 广 意 Ss 缮 计 
Br 
从 未 执行 过 全 条 扫描 建议 您 尽快 执行 一 Cam: 
次 全 盘 扫 描 . 上 次 扫 护 : 
扫描 委 的 计算 机 


图 7.3 卡巴 斯 基 扫描 病毒 区 域 


(3) 现在 单 击 “ 关 键 区 域 ”", 可 以 看 到 如 图 7.4 所 示 的 中 间 区 域 。 这 是 根据 不 同 的 要 求 变 
化 扫描 的 具体 内 容 , 如 全 部 选择 或 部 分 选择 系统 内 存 .启动 对 象 . 引 导 扇 区 .system32 等 范围 。 


Anti-Virus 


二 


局 动 对 象 


(TT 


加 ep 


从 未 执行 过 全 委 扫 撕 . 建 议 您 尽快 执行 一 
雇 全盘 扫 撕 . 


图 7.4 卡巴 斯 基 扫 描 的 关键 区 域 


(4) 单 击 图 7.4 右 侧 的 “扫描 "按钮 可 进行 扫描 杀毒 。 图 7. 5 所 示 为 正在 扫描 过 程 中 的 
状态 。 扫 描 结束 后 , 单 击 “ 关 闭 ” 按 钮 完成 此 次 扫描 和 查 杀 ,可 查看 到 如 图 7. 6 所 示 的 扫描 
结果 。 


(5) 当 我 们 只 想 扫描 计算 机 的 内 存 和 引导 区 范围 是 否 有 病毒 侵害 时 ,可 以 选择 单 击 * 扫 
描 ” 项 下 的 “启动 对 象 ”, 如 图 7.7 所 示 。 这 时 中 间 区 域 会 出 现 “ 系 统 内 存 ”“ 启 动 对 象 " 和 “ 引 
导 扇 区 ”三 个 选择 对 象 。 可 以 根据 需要 进行 全 部 选择 或 部 分 选择 设置 。 
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LD 9% 一 扫描 关键 区 域 y= 
| 提 扫 关键 区 域 :正在 运行 pum 
现在 扫描 :raschap.d 
位 置 Svchost.exe\ 
已 扫描 : So8 开始 时 间 ; 2006-9-21 13:21;48 
已 检测 : 0 ”持续 时 间 ; 。 00:00:35 
未 清除 : 0 结束 时 间 : 。 2008-9-21 13:26:01 
TENES ] 
状态 对 象 
回 显示 处 理 对 和 [ite] [全 豆包 
am 0mm < aa Cd 
图 7.5 病毒 扫描 过 程 状态 
| 扫 攻 关键 区 域 :完成 | 
由 未 检测 到 威胁 
Cas 3930 ”开始 时 间 : 。 2006-9.21 13:21:48 
已 检测 : 0 持续 时 间 : 。 00:03:46 
未 清除 : 0 结束 时 间 ; 。 2006-9-21 13:25:34 
ER 
E> E73 
回 显示 处 理 对 象 [| ES 
人 @ 型 助人 所 有 报告 -上 -二 下 -上 生 > SEE 


图 7.6 卡巴 斯 基 扫 描 结果 
(6) 单 击 图 7.7 右 侧 的 “扫描 ”按钮 进行 扫描 和 查 杀 。 图 7. 8 所 示 为 正在 进行 的 扫描 
过 程 。 
(7) 扫描 查 杀 后 单 击 “ 关 闭 ” 按 钮 ,可 看 到 扫描 “启动 对 象 ” 过 程 完成 及 扫描 结果 。 
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万 卡巴 斯 基 反 病 毒 6- 0 个 人 版 


」 [ 回 包 天 砚 让 
| 回 居 局 动 对 象 
回 闷 引导 区 


从 未 执行 过 全 盘 扫 入 .建议 您 尽快 执行 一 
雇 全 盘 扫 摘 , 


回 呈 示 外 理 对 旭 | [全 Et 
人 型 助 GD 148 报 千 < 上 = 此 下 -- 生 > [ET | ee 


图 7.8 扫描 “启动 对 象 " 的 扫描 过 程 


说 明 : 扫描 查 杀 “关键 区 域 " 和 “启动 对 象 " 只 是 对 计算 机 内 存 . 引 导 区 或 开机 后 抢占 进 
程 的 病毒 的 扫描 措施 , 它 查 杀 病 毒 或 恶意 程序 的 范围 比较 小 。 如 果 需 要 全 面 地 查 杀 病 毒 , 则 
选择 “我 的 电脑 ”区 域 并 进行 扫描 查 杀 。 

(8) 单 击 图 7. 3 左 侧 * 扫 描 ?” 项 下 的 “我 的 电脑 ”出现 如 图 7.9 所 示 画 面 。 图 中 间 区 域 
有 多 项 的 扫描 范围 ,我们 可 根据 需要 全 部 或 部 分 选择 之 。 然 后 单 击 右 侧 的 “扫描 ”按钮 进行 
扫描 查 杀 ,图 7. 10 所 示 为 扫描 进行 中 状态 。 当 扫描 到 病毒 后 ,可 以 选择 右 下 角 的 “全 部 处 
理 ” 按 钮 进行 查 杀 。 
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CE 


| 扫 撕 我 的 电脑 : 正在 运行 


现在 扫描 : onb25gf3.kxm 

位 置 : C:\WINDOWS\Driver Cache\i386\driver .cabj 

已 扫描 ; 18921 开始 时 间 : 。 2008-9-21 13:32:29 
已 检测 : 1 10 
未 清除 : 


状态 
全 已 检测 : 木马 程序 Trojan-Downloader.]5.Iframe.vwt 


7.10 “我 的 电脑 ”的 扫描 过 程 


(9) 查 杀 完毕 后 , 单 击 “ 关 闭 ” 按 钮 退出 ,如 图 7. 11 所 示 。 
至 此 ,使 用 卡巴 斯 基 反 病毒 工具 查 杀 病毒 的 过 程 就 全 部 完成 了 。 
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3 和 


| 扫描 我 的 电脑 :完成 


所 有 威胁 已 经 处 理 


已 扫描 : 
已 检测 : 
未 清除 : 


开始 时 间 : 
持续 时 间 : 
结束 时 间 : 


2008-9-21 14:16:08 


上 


划 


对 象 
: 木马 程序 Trojan-Downloader,]5.Iframe,W 文件 ; C:\Documents and Settings\Administrator\Local Setti， 
: 病毒 Worm,Win32,.AutoRun,py 文件 : G:\explorer,exe 
: 病毒 Worm.Win32.AutoRun.v 文件 : Gi\winsmss.exe 
; 病毒 Worm.Win32.vB.el 文件 : Gi\sal.xls.exe 
;病毒 Worm.Win32.AutoRun,ly 文件 : G:YRECYCLER\S5-1-5-21-1482476501-1644491937-6,.， 


图 7.11 扫描 “我 的 电脑 ”的 处 理 结果 


77 常见 国产 木马 的 清除 方法 


以 下 介绍 的 常见 的 国产 木马 ,为 网 络 用 户 带 来 了 不 同 程度 的 危害 和 影响 。 根 据 木 马 的 
工作 原理 和 危害 ,可 采用 相应 的 方法 防御 和 清除 这 些 木马 。 


1. 冰河 


冰河 可 以 说 是 最 有 名 的 木马 了 ,就 连 刚 接触 电脑 的 用 户 可 能 也 听 说 过 它 。 作 为 木马 , 冰 
河 创造 了 最 多 人 使 用 .最 多 人 中 弹 的 奇迹 。 后 来 网 上 又 出 现 了 许多 的 冰河 变种 程序 。 

冰河 的 服务 器 端 程序 为 G-server. exe, 客 户 端 程序 为 G-client. exe, 默 认 连 接 端口 为 
7626。 一 旦 运行 G-server, 那么 该 程序 就 会 在 C:\ Windows \ System 目录 下 生成 
Kernel32. exe 和 sysexplr. exe, 并 删除 自身 。Kernel32. exe 在 系统 启动 时 自动 加 载运 行 ， 
sysexplr. exe 和 TXT 文件 关联 ,即使 你 删除 了 Kernel32. exe, 但 只 要 打开 TXT 文件 ， 
sysexplr. exe 就 会 被 激活 , 它 将 再 次 生成 Kernel32. exe, 于 是 冰河 又 回来 了 。 这 就 是 冰河 屡 
删 不 止 的 原因 。 

清除 方法 : 

(1) 删除 C:\Windows\System 下 的 Kernel32. exe 和 Sysexplr. exe 文件 。 

(2) 冰河 会 在 注册 表 HKEY_LOCAL_MACHINE\software\microsoft\windows\ 
CurrentVersion\Run 下 扎根 , 键 值 为 C:\Windows\System\Kernel32. exe, 将 该 键 值 删除 。 

(3) 在 注册 表 的 HKEY _ LOCAL_MACHINE \ software \ microsoft \ windows \ 
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CurrentVersion\ Runservices 下 ,还 有 键 值 C:\Windows\System\Kernel32. exe, 也 要 将 其 
删除 。 

(4) 修改 注册 表 HKEY_CLASSES_ROOT\txtfile\shell\open\command 下 的 默认 值 ， 
由 感染 木马 后 的 C:\Windows\System\Sysexplr. exe %1 改 为 正常 情况 下 的 C:\Windows\ 
notepad. exe %1, 即 可 恢复 TXT 文件 的 关联 功能 。 


2. 广 外 女生 


广 外 女生 是 广东 外 语 外 贸 大 学 “ 广 外 女生 ”网 络 小 组 的 处 女 作 ,是 一 种 远程 监控 工具 , 破 
坏 性 很 大 ,可 远程 上 传 .下载 . 删 除 文件 ,修改 注册 表 等 。 其 可 怕 之 处 在 于 其 服务 端 被 执行 
后 ,会 自动 检查 进程 中 是 否 含有 “金山 毒霸 ”、“ 防 火 墙 "、“tcmonitor”、“ 实 时 监控 ”、 
“lockdown”、“kill”、“ 天 网 ”等 字样 ,如 果 发 现 就 将 该 进程 终止 ,也 就 是 说 这 些 防 护 完 全 失去 
作用 。 

该 木马 程序 运行 后 ,将 会 在 系统 的 System 目录 下 生成 一 份 自己 的 拷贝 ,名 称 为 
diagcfg. exe, 并 关联 . exe 文件 的 打开 方式 。 如 果 贸 然 删 掉 了 该 文件 ,将 会 导致 系统 所 有 
.exe 文件 无 法 打开 。 

清除 方法 : 

(1) 由 于 该 木马 程序 运行 时 无 法 被 删除 ,因此 启动 到 纯 DOS 模式 下 ,找到 System 目录 
下 的 diagcfg. exe, 将 其 删除 。 

(2) 由 于 diagcfg. exe 文件 已 经 被 删除 ,因此 在 Windows 环境 下 任何 . exe 文件 都 将 无 
法 和 运行。 可 找到 Windows 目录 中 的 注册 表 编辑 器 “Regedit. exe” ,将 它 改名 为 “Regedit. com”。 

(3) 回 到 Windows 模式 下 ,运行 Windows 目录 下 的 Regedit. com 程序 (就 是 刚 改名 的 
交 科 3》 

(4) 找到 HKEY_CLASSES_ROOT\exefile\shell\open\command, 将 其 默认 键 值 改 为 
< 

(5) 找到 HKEY _ LOCAL _ MACHINE \ SOFTWARE \ Microsoft \ Windows \ 
CurrentVersion\ RunServices, 删 除 其 中 名 称 为 “Diagnostic Configuration” 的 键 值 。 

(6) 关 掉 注册 表 编 辑 器 , 回 到 Windows 目录 ,将 “Regedit. com” 改 为 “Regedit. exe”。 


3. 网 络 精 灵 


网 络 精灵 的 英文 名 为 Netspy, 是 国产 木马 ,默认 连接 端口 为 7306。 该 系统 具有 注册 表 
编辑 功能 和 浏览 器 监控 功能 ,客户 端 现 在 可 以 不 用 Net Monitor, 通 过 IE 或 Navigator 就 可 
以 进行 远程 监控 了 。 其 强大 之 处 丝毫 不 逊 于 冰河 和 BO 2000。 服 务 端 程序 被 执行 后 ,会 
C:\Windows\System 目录 下 生成 netspy. exe 文件 。 同 时 在 注册 表 HKEY_LOCAL _ 
MACHINE\software\microsoft\windows\CurrentVersion\Run\ 下 建立 键 值 C:\Windows 
\System\netspy. exe, 用 于 在 系统 启动 时 自动 加 载运 行 。 

清除 方法 : 

(1) 重新 启动 计算 机 并 在 出 现 Staring Windows 提示 时 , 按 F5 键 进 入 命令 行 状态 。 在 
C:\Windows\System\ 目 录 下 输入 命令 del netspy. exe, 将 其 删除 。 

(2) 进入 注册 表 HKEY_LOCAL_MACHINE\Software\microsoft\windows\Current 


第 7 章 ”计算 机 网 络 攻防 技术 与 应 用 


Version\Run\ ,删除 Netspy 的 键 值 , 即 可 安全 清除 netspy。 
4. 黑洞 2001 


黑洞 2001 是 国产 木马 程序 ,默认 连接 端口 为 2001, 故 以 其 命名 。 黑 洞 的 可 怕 之 处 在 于 
它 有 强大 的 杀 除 进程 功能 。 也 就 是 说 控制 端 可 以 随意 终止 被 控 端 的 某 个 进程 ,如 果 这 个 进 
程 是 天 网 之 类 的 防火 墙 ,那么 其 保护 作用 就 全 没 了 ,黑客 可 以 由 此 而 长 驱 直 入 ,在 你 的 系统 
中 肆意 破坏 。 

黑洞 2001 服务 端 被 执行 后 ,会 在 C:\Windows\System 下 生成 两 个 文件 : 一 个 是 
S_Server. exe, 该 文件 是 服务 端的 直接 复制 ,用 的 是 文件 夹 的 图 标 ; 另 一 个 是 Windows. exe, 文 
件 大 小 为 255 488 字 节 ,用 的 是 未 定义 类 型 的 图 标 。 黑 洞 2001 是 典型 的 文件 关联 型 木马 ， 
Windows. exe 文件 用 来 在 机 器 开机 时 立刻 运行 ,并 打开 默认 连接 端口 2001,S_Server. exe 
文件 用 来 和 TXT 文件 打开 方式 连 起 来 ( 即 关 联 )。 当 受害 者 发 现 自 己 中 了 木马 而 在 DOS 
下 把 Windows. exe 文件 删除 后 ,服务 端 就 暂时 被 关闭 ,木马 暂时 删除 。 当 任何 文本 文件 被 
运行 时 ,隐蔽 的 S_Server. exe 木马 文件 就 又 被 激活 了 ,于 是 它 再 次 生成 Windows. exe 文件 ， 
即 木 马 又 被 种 入 。 

清除 方法 : 

(1) 将 HKEY_CLASSES_ROOT\txtfile\shell\open\command 下 的 默认 键 值 由 
S_SERVER. EXE %1 改 为 C:\WINDOWS\NOTEPAD. EXE %1。 

(2) 将 HKEY _LOCAL_MACHINE \\ Software\CLASSES \ txtfile \ shell \ open \ 
command 下 的 默认 键 值 由 S_SERVER. EXE %1 改 为 C:\WINDOWS\NOTEPAD. EXE %1。 

(3) 将 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ 
Run Services\ 下 的 串 值 Windows 删除 。 

(4) 将 HKEY_ CLASSES_ROOT 和 HKEY _LOCAL_ MACHINE \ Software\ 
CLASSES 下 的 Winvxd 主键 删除 。 

(5) 到 C:\Windows\System 下 ,删除 Windows. exe 和 S_Server. exe 这 两 个 木马 文件 。 

要 注意 的 是 ,如 果 已 经 中 了 黑洞 2001, 那 么 Windows. exe 文件 在 Windows 环境 下 是 无 
法 直接 删除 的 ,这 时 可 以 在 DOS 方式 下 将 它 删除 ,或 者 用 进程 管理 软件 终止 Windows. exe 
进程 ,然后 再 将 它 删 除 。 


5. 火 凤凰 


火 凤凰 又 称 WAY2. 4 无 赖 小 子 ,是 国产 木马 程序 ,默认 连接 端口 是 8011。 众 多 木马 高 
手 在 介绍 该 木马 时 都 对 其 强大 的 注册 表 操 控 功 能 赞 不 绝口 ,也 正 因为 如 此 它 的 威胁 就 更 大 
了 。WAY2.4 的 注册 表 操 作 很 有 特色 , 它 对 受 控 端 注册 表 的 读 写 就 和 本 地 注册 表 读 写 一 样 
方便 。 

WAY2.4 服务 端 被 运行 后 在 C:\Windows\System 下 生成 msgsvc. exe 文件 ,图 标 是 文 
本 文件 ,很 隐蔽 ,文件 大 小 为 235 008 字 节 ,文件 修改 时 间 为 1998 年 5 月 30 日 。 看 来 它 想 冒 
充 系统 文件 msgsvc32. exe。 同 时 , WAY2. 4 在 注册 表 HKEY _LOCAL_MACHINE\ 
SOFTWARE\Microsoft\ Windows\CurrentVersion\Run 下 建立 串 值 Msgtask, 其 键 值 为 
C:\Windows\System\msgsvc. exe。 此 时 如 果 用 进程 管理 工具 查看 ,就 会 发 现 进程 C:\ 
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Windows\System\msgsvc. exe 的 存在 。 

清除 方法 : 

要 清除 WAY2. 4, 只 要 删除 它 在 注册 表 中 的 键 值 .再 删除 C:\Windows\System 下 的 
msgsvc. exe 文件 就 可 以 了 。 但 在 Windows 下 直接 删除 msgsvc. exe 是 不 可 能 的 ,此 时 可 以 
先 用 进程 管理 工具 终止 它 的 进程 ,然后 再 删除 它 ; 或 者 到 DOS 下 删除 msgsvc. exe。 如 果 服 
务 端 已 经 和 可 执行 文件 绑 在 一 起 , 那 就 只 有 将 那个 可 执行 文件 也 删除 了 。 注 意 在 删除 前 请 
做 好 备份 。 


6. 初恋 情人 


初恋 情人 的 英文 名 为 Sweet Heart, 是 国产 木马 ,默认 连接 端口 是 8311。 自 启动 程序 为 
C:\Windows \ Temp\ Aboutagirl. exe, 与 TXT 关联 的 文件 为 C: \ Windows\ System\ 
girl. exe。 该 木马 作者 故意 设 下 陷阱 ,将 服务 端 和 客户 端 名 字 交 换 了 ,压缩 包 内 的 文件 
gf_client. exe 不 是 用 户 端 而 是 服务 端 程序 ,gf_server. exe 不 是 服务 端 而 是 用 户 端 程序 。 

清除 方法 : 

(1) 删除 C:\Windows\Temp 下 的 Aboutagirl. exe 文件 。 

(2) 然后 ,将 HKEY_CLASSES_ROOT\txtfile\shell\open\command 下 的 默认 键 值 由 
girl. exe %1 改 为 C:\Windows\Notepad. exe %1。 

(3) 再 将 HKEY _LOCAL_MACHINE\ Software\CLASSES\ txtfile\ shell \ open\ 
command 下 的 默认 键 值 由 girl. exe %1 改 为 C:\Windows\notepad. exe %1。 


7. 网 络 神偷 


网 络 神偷 的 英文 名 为 Nethief ,是 第 一 个 “反弹 端口 型 木马。 与 一 般 的 木马 相反 ,反弹 
端口 型 木马 的 服务 端 ( 被 控制 端 ) 使 用 主动 端口 ,客户 端 ( 控 制 端 ) 使 用 被 动 端口 。 当 要 建立 
连接 时 ,由 客户 端 通过 FTP 主页 空间 告诉 服务 端 “ 现 在 开始 连接 我 吧 ”, 并 进入 监听 状态 ; 
服务 端 收 到 通知 后 ,就 会 开始 连接 客户 端 。 为 了 隐 项 起见, 客户 端的 监听 端口 一 般 开 在 80， 
这 样 , 即 使 用 户 使 用 端口 扫描 软件 检查 自己 的 端口 ,发现 的 也 是 类 似 “TCP 服务 端的 IP 地 
址 1026 ,客户 端的 耳 地 址 80 ESTABLISHED” 的 情况 ,客户 就 会 以 为 是 自己 在 浏览 网 页 。 
防火 墙 也 会 如 此 认为 ,因为 没有 哪个 防火 墙 会 不 给 用 户 向 外 连接 80 端口 。 

清除 方法 : 

(1) 发 现 注册 表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\ 
CurrentVersion\Run 下 建立 有 键 值 "internet”, 其 值 为 “internet. exe /s”, 将 该 键 值 删除 。 

(2) 删除 其 自 启动 程序 C:\Windows\System\internet. exe。 


8. 网 络 公牛 

网 络 公牛 又 名 Netbull, 是 国产 木马 ,默认 连接 端口 是 234444。 服 务 端 程序 newserver. 
exe 运行 后 ,会 自动 脱 壳 成 checkdll. exe, 位 于 C:\Windows\System 下 ,下 次 开机 时 
checkdll. exe 将 自动 运行 ,因此 很 隐蔽 .危害 性 很 大 。 同 时 ,服务 端 运 行 后 会 自动 捆绑 以 下 
误 类 二 


Windows 9x 下 : notepad. exe、write. exe regedit. exe .winmine. exe、winhelp. exe。 
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Windows NT/2000 下 : notepad. exe regedit. exe, reged32. exe drwtsn32. exe、 winmine 
. Exe。 

服务 端 运行 后 还 会 捆绑 在 开机 时 自动 运行 的 第 三 方 软件 (如 : realplay. exe、QQ、ICQ 
等 )。 在 注册 表 中 网 络 公牛 也 悄悄 地 扎 下 了 根 。 

网 络 公 牛 没有 采用 文件 关联 功能 ,采用 的 是 文件 拥 绑 功 能 ,与 上 述 的 文件 拥 绑 在 一 块 ， 
要 清除 非常 困难 。 采 用 捆绑 方式 的 木马 比较 容易 暴露 ,只 要 是 稍微 有 经 验 的 用 户 ,就 会 发 现 
文件 长 度 发 生 了 变化 ,从 而 怀疑 自己 中 了 木马 。 

清除 方法 : 

(1) 删除 网 络 公 牛 的 自 启动 程序 C:\Windows\System\CheckDIl. exe。 

(2) 把 网 络 公牛 在 注册 表 中 所 建立 的 键 值 全 部 删除 。 

(3) 检查 上 面 列 出 的 文件 ,如 果 发 现 文件 长 度 发 生变 化 ,就 删除 它们 。 然 后 再 使 用 干净 
软盘 将 这 些 文件 恢复 。 如 果 是 开机 时 自动 运行 的 第 三 方 软件 ,如 realplay. exe`\QQ ICQ 等 
被 捆绑 上 了 , 那 就 要 把 这 些 文件 删除 ,再 重新 安装 。 


9. 聪明 基因 


聪明 基因 也 是 国产 木马 ,默认 连接 端口 为 7511。 服 务 端 文件 为 genueserver. exe, 用 的 
是 HTM 文件 图 标 。 如 果 你 的 系统 设置 为 不 显示 文件 扩展 名 ,那么 就 会 以 为 这 是 个 HTM 
文件 ,很 容易 上 当 。 如 果 不 小 心 运行 了 服务 端 文件 genueserver. exe, 就 会 启动 IE ,让 你 进 一 
步 以 为 这 是 一 个 HTM 文件 ,并 且 还 在 运行 之 后 生成 genueserver. htm 文件 。 

聪明 基因 是 文件 关联 型 木马 ,服务 端 运行 后 会 生成 三 个 文件 : C:\ Windows\ 
MBBManager. exe ,Explore32. exe 和 C:\Windows\system\editor. exe。 这 三 个 文件 用 的 
都 是 HTM 文件 图 标 。 

Explore32. exe 用 来 和 HLP 文件 关联 , MBBManager. exe 用 来 在 启动 时 加 载运 行 ， 
editor. exe 用 来 和 TXT 文件 关联 。 如 果 你 发 现 并 删除 了 MBBManager. exe, 但 却 没 有 真正 
清除 它 ,一 旦 打开 HLP 文件 或 文本 文件 ,Explore32. exe 和 editor. exe 就 被 激活 , 它 将 再 次 
生成 守护 进程 MBBManager. exe。 

聪明 基因 最 可 怕 之 处 是 其 永久 隐藏 远程 主机 驱动 器 的 功能 ,如 果 控 制 端 选择 了 这 个 功 
能 ,那么 受 控 端 很 难 找 回 驱 动 器 。 

清除 方法 : 

(1) 删除 有 关 文 件 。 删 除 C:\Windows 下 的 MBBManager. exe 和 Explore32. exe, 再 
删除 C:\Windows\System 下 的 editor. exe 文件 。 如 果 服 务 端 已 经 运行 ,那么 就 要 用 进程 
管理 软件 终止 MBBManager. exe 进程 ,然后 在 Windows 下 将 其 删除 。 也 可 到 纯 DOS 下 删 
除 MBBManager. exe,editor. exe 在 Windows 下 可 直接 删除 。 

(2) 删除 自 启动 文件 。 查 看 注册 表 到 HKEY_LOCAL_MACHINE\SOFTWARE\ 
Microsoft\Windows\Current Version\ Run 下 ,删除 键 值 *MainBroad BackManager”, 其 值 
为 C:\Windows\MBBManager. exe, 它 每 次 在 开机 时 就 被 加 载运 行 。 

(3) 恢复 TXT 文件 关联 。 聪 明基 因 将 注册 表 HKEY_CLASSES_ROOT\txtfile\shell 
\open\command 下 的 默认 键 值 由 C:\Windows\ notepad. exe %1 改 为 C:\Windows\ 
System\editor. exe %1, 因 此 要 将 其 恢复 成 原 值 。 同 理 , 到 注册 表 的 HKEY_LOCAL_ 
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MACHINE\Software\ CLASSES\ txtfile\ shell\open\command 下 ,将 此 时 的 默认 键 值 由 
C:\Windows\System\editor. exe %1 改 为 C:\ Windows \notepad. exe %1, 这 样 就 将 TXT 
文件 关联 恢复 了 。 

(4) 恢复 HLP 文件 关联 。 聪 明基 因 将 注册 表 HKEY_CLASSES_ROOT\hlpfile\shell 
\open\command 下 的 默认 键 值 改 为 C:\ Windows explore32. exe %1, 因 此 要 人 恢复 成 原 值 
C:\ Windows \ WINHLP32. exe%1。 同 理 ,到 注册 表 的 HKEY_LOCAL_MACHINE\ 
Software\CLASSES\hlpfile\shell\open\command 下 ,将 此 时 的 默认 键 值 由 C:\ Windows\ 
explore32. exe %1 改 为 C:\Windows \winhlp32. exe %1。 这 样 就 将 HLP 文件 关联 恢 
复 了 。 


10. SubSeven 


SubSeven 的 功能 比 BO 2000 有 过 之 而 无 不 及 ,其 默认 连接 端口 为 27374。 其 服务 端 程 
序 为 server. exe, 客 户 端 程序 为 subseven. exe。 它 很 容易 被 拥 绑 到 其 他 软件 而 不 被 发 现 。 
SubSeven 服务 端 被 执行 后 ,变化 多 端 , 每 次 启动 的 进程 名 都 会 发 生变 化 ,因此 很 难 检测 。 

清除 方法 : 

(1) 打开 注册 表 Regedit, 点 击 至 HKEY _ LOCAL_MACHINE\SOFTWARE\ 
Microsoft\Windows\Current Version\Run 和 RunService 下 ,如果 发 现 加 载 文件 ,就 删除 右 
边 的 项 目 : 加 载 器 =“C:\Windows\System\ xxx ”。 

(2) 打开 win. ini 文件 ,检查 “run 二 "后 有 没有 加 上 某 个 可 执行 文件 名 ,如 有 则 将 其 
删除 。 

(3) 打开 system. ini 文件 ,检查 “shell 王 explorer. exe” 后 是 否 有 某 个 文件 ,如 有 则 将 其 
删除 。 

(4) 重新 启动 Windows, 删 除 相对 应 的 木马 程序 。 

上 述 国内 最 流行 的 十 大 木马 都 是 按 默 认 情况 ( 即 服务 端 没 有 被 配置 ) 介 绍 的 。 若 服务 端 
配置 后 ,就 可 以 任意 改名 \ 改 连接 端口 改 关联 文件 等 。 但 万 变 不 离 其 宗 , 掌 握 了 上 述 方法 ， 
木马 再 怎么 隐藏 也 能 被 发 现 。 从 上 述 不 难看 出 ,木马 的 隐蔽 之 处 无 非 就 是 注册 表 、Win. ini、 


78 一 种 网 络 扫描 软件 应 用 实例 
一 一 Nmap 的 应 用 


Nmap 是 著名 的 免费 端口 扫描 器 软件 ,被 称 为 扫描 之 王 。 可 从 www. insecure. org/ 
nmap 站 点 上 免费 下 载 ,下 载 格式 可 以 是 tgz 格式 的 源码 或 RPM 格式 。 端 口 扫描 器 不 仅 是 
黑客 们 喜爱 的 工具 ,也 是 网 络 管理 员 和 用 户 了 解 自己 系统 的 最 好 助手 。 端 口 扫 描 是 检测 服 
务 器 上 运行 了 哪些 服务 和 应 用 、 向 Internet 或 其 他 网 络 开放 了 哪些 联系 通道 的 一 种 办 法 ,不 
仅 速 度 快 ,而 且 效 果 也 很 好 。 

目前 支持 Windows 2000/XP 的 端口 扫描 器 已 有 很 多 ,部 分 还 提供 了 GUI( 图 形 用户 界 
面 )。Nmap 是 众多 的 端口 扫描 器 中 的 佼佼 者 。 它 提供 了 大 量 的 命令 行 选 项 ,能 够 灵活 地 满 
足 各 种 扫描 要 求 ,而 且 输 出 格式 丰富 。Nmap 原先 是 为 UNIX 平台 开发 的 ,是 许多 UNIX 管 
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理 员 不 可 缺少 的 工具 ,后 来 被 移植 到 Windows 平台 。 
1. 安装 Nmap 


Nmap 要 用 到 一 个 称 为 “Windows 包 捕 获 库 ”的 驱动 程序 WinPcap。WinPcap 的 作用 
是 帮助 调用 程序 (Nmap) 捕获 通 过 网 卡 传输 的 原始 数据 。WinPcap 的 最 新 版 本 可 在 
http://netgroup-serv. polito. it/winpcap 上 得 到 , 它 支持 Windows 9x/2000/XP 全 系列 操 
作 系 统 , 下 载 得 到 的 是 一 个 可 执行 文件 ,双击 安装 ,一 路 "确认 ”使 用 默认 设置 即 可 。 安 装 好 
之 后 需要 重新 启动 机 器 。 

接 下 来 再 下 载 Nmap。 下 载 之 后 解压 缩 ,不 需要 安装 。 除 了 执行 文件 nmap. exe 之 外 ， 
它 还 有 下 列 参 考 文档 : 

。 nmap-os-fingerprints: 列 出 了 500 多 种 网 络 设备 和 操作 系统 的 堆栈 标识 信息 。 

。 nmap-protocols: Nmap 执行 协议 扫描 的 协议 清单 。 

。 nmap-rpc: 远程 过 程 调用 (RPC) 服 务 清单 ,Nmap 用 它 来 确定 在 特定 端口 上 监听 的 

应 用 类 型 。 

。 nmap-services: 一 个 TCP/UDP 服务 的 清单 ,Nmap 用 它 来 匹配 服务 名 称 和 端口 号 。 

除了 命令 行 版 本 之 外 ,www. insecure. org 还 提供 了 一 个 带 GUI 的 Nmap 版 本 。 与 其 
他 常见 的 Windows 软件 一 样 ,GUI 版 本 需要 安装 。GUI 版 的 功能 基本 上 和 命令 行 版 本 
一 样 。 


2. Nmap 的 应 用 


Nmap 的 语法 相当 简单 ,其 不 同 选项 和 -s 标志 组 成 了 不 同 的 扫描 类 型 。 比 如 ,一 个 
Ping-scan 命令 就 是 *-sP”。 在 确定 了 目标 主机 和 网 络 之 后 , 即 可 进行 扫描 。 如 果 以 root 来 
运行 Nmap,Nmap 的 功能 会 大 大 的 增强 ,因为 超级 用 户 可 以 创建 便于 Nmap 利用 的 定制 数 
据 包 。 

在 目标 机 上 ,Nmap 运行 灵活 。 使 用 Nmap 进行 单机 或 整个 网 络 的 扫描 很 简单 ,只 要 将 
带 有 “/mask” 的 目标 地 址 指定 给 Nmap 即 可 。 

解 开 Nmap 命令 行 版 的 压缩 包 之 后 ,进入 Windows 的 命令 控制 台 , 再 转 到 安装 Nmap 
的 目录 (如 果 经 常 要 用 Nmap, 最 好 把 它 的 路 径 加 入 到 PATH 环境 变量 )。 不 带 任何 命令 行 
参数 运行 Nmap,Nmap 显示 出 命令 语法 ,如 图 7. 12 所 示 。 

Nmap 支持 的 四 种 最 基本 的 扫描 方式 是 : 

。 Ping 扫描 (-sP)。 

。 TCP SYN 扫描 (-sS)。 

。 TCP connect() 扫描 (-sT)。 

。 UDP 扫描 (-sU)。 

如 果 要 勾画 一 个 网 络 的 整体 情况 ,Ping 扫描 和 TCP SYN 扫描 最 为 实用 。Ping 扫描 通 
过 发 送 ICMP 回应 请 求 数据 包 和 TCP 应 答 (ACK) 数 据 包 , 确 定 主 机 的 状态 ,非常 适合 于 检 
测 指 定 网 段 内 正在 运行 的 主机 数量 。 

(1) Ping 扫描 (-sP) 

扫描 者 (用 户 、 网 络 管理 员 或 黑客 ) 使 用 Nmap 扫描 整个 网 络 寻 找 目标 。 通 过 使 用 
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ge: nmap [Scan TypeCs>] [Options] 《hi or net 

e Common Scan Types C’*’ options require root privileges> 
ICP SYN stealth port scan Cdefault if privileged ‘(root>> 
ICP connectK》 port scan Cdefault for unprivileged user 


ad any reachable machin 
Stealth FIN,. % or expe only> 
use with othe 
Sone C Options required, m c nbined>: 
0 se TCP/IP fingerprinting to gu renote operating ten 


p ge> port Exanple ane "1-1824,.1888,.6666 .31337” 


-F i in nmap 


-w recomnended- Pp greater effect 


<needed to an 
Ddecoy_hosti.decoy2[....] Hide scan using nany decoys 
T <Paranoid!Sneaky!Polite INormalins ane> Gen 
-n/-R Never do DNS resolution/Alwva [default: 
3 <logfile> Output nornal/XxML/grepable 
[0 “一 


> 


al tining poli 


S <your_IP»/-e devicenane> Specify source addr or network interface 


interactive Go into interactive mode ‘(then pr h for help> 
win_help Window specific features 
O_ Www-m mn 192.168.8.0/16 "192.88-90.*.x’ 


图 7.12 Nmap 命令 显示 


“-sP” 命 令 进行 ping 扫描 。 默 认 情 况 下 , Nmap 给 每 个 扫描 到 的 主机 发 送 
和 一 个 TCP ACK ,主机 的 任何 一 种 响应 都 会 被 Nmap 得 到 。 
例如 ,扫描 192. 168.7.0 网 络 如 下 : 


# nmap - sP 192.168.7.0/24 

Starting nmap V. 2.12 by Fyodor (fyodor@dhp. com, www. insecure. org/nmap/) 
Host (192.168.7.11) appears to be up. 

Host (192.168.7.12) appears to be up. 

Host (192.168.7.76) appears to be up. 


Nmap run completed 一 256 IP addresses (3 hosts up) scanned in 1 second 


如 果 不 发 送 ICMP echo 请 


求 ,但 要 检查 系统 的 可 用 性 ,这 种 扫描 可 能 得 不 到 一 些 站 点 


-个 ICMP echo 


的 响应 。 在 这 种 情况 下 ,一 个 TCP*ping” 就 可 用 于 扫描 目标 网 络 。TCP*ping” 扫 描 将 发 送 


-个 ACK 到 目标 网 络 上 的 每 个 主机 。 网 络 上 的 主机 如 果 在 线 , 则 会 返回 


-个 TCP RST 响 


应 。 使 用 带 有 ping 扫描 的 TCP ping 选项 (PT) ,可 以 对 网 络 上 指定 端口 进行 扫描 (本 例 中 


默认 端口 是 80) , 它 将 可 能 通过 目标 边界 路 由 器 甚至 防火 墙 。 
例如 ,扫描 192. 168.7.0 网 络 指定 的 80 端口 如 下 : 


# nmap — sP 一 PT80 192.168.7.0/24 

TCP probe port is 80 

Starting nmap V. 2. 12 by Fyodor (fyodor@dhp. com,www. insecure. org/nmap/) 
Host (192.168.7.11) appears to be up. 

Host (192.168.7.12) appears to be up. 

Host (192.168.7.76) appears to be up. 

Nmap run completed 一 256 IP addresses (3 hosts up) scanned in 1 second 


当 潜 在 人 侵 者 发 现 了 在 目标 网 络 上 运行 的 3 
不 同类 别 的 端口 扫描 TCP 连接 。 


机 ,下 一 步 是 进行 端口 扫描 。Nmap 支持 
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(2) TCP SYN 扫描 (-sS) 

如 果 扫 描 者 不 愿 在 扫描 时 使 其 信息 被 记录 在 目标 系统 日 志 上 ,TCP SYN 扫描 可 以 帮 
忙 。 通 过 发 送 一 个 SYN 包 开 始 一 次 SYN 扫描 。 任 何 开放 的 端口 都 将 有 一 个 SYN/ACK 
响应 。 然 而 ,扫描 者 发 送 一 个 RST 替代 ACK ,连接 中 止 。 三 次 握手 得 不 到 实现 ,也 就 很 少 
有 站 点 能 记录 这 样 的 探测 。*-sS” 命 令 将 发 送 一 个 SYN 扫描 探测 主机 或 网 络 如 下 : 


# nmap — sS 192.168.7.9 

Starting nmap V. 2. 12 by Fyodor (fyodor@dhp. com,www. insecure. org/nmap/) 
Interesting ports on saturnlink. nac. net (192.168.7.9): 

Port State Protocol Service 

21 open tcp ftp 

25 open tcp smtp 

53 open tcp domain 

80 open tcp http 


Nmap run completed 一 1 IP address (1 host up) scanned in 1 second 


(3) TCP connect() 扫描 (-sT) 
扫描 者 使 用 TCP 连接 扫描 很 容易 被 发 现 ,因为 Nmap 可 使 用 connect() 系 统 调用 打开 
目标 机 上 相关 端口 的 连接 ,并 完成 三 次 握手 。 一 个 TCP 连接 扫描 使 用 “-sT” 命 令 如 下 : 


# nmap - sT 192.168.7.16 
Starting nmap V. 2.12 by Fyodor (fyodor@dhp. com,www. insecure. org/nmap/) 
Interesting ports on (192.168.7.16): 

Port State Protocol Service 

7 open tcp echo 

9 open tcp discard 

13 open tcp daytime 

19 open tcp chargen 

21 open tcp ftp 

Nmap run completed 一 1 IP address (1 host up) scanned in 3 seconds 


(4) UDP 扫描 (-sU) 

如 果 扫 描 者 寻找 一 个 流行 的 UDP 漏洞 ,比如 rpcbind 漏洞 或 cDc Back Orifice, 为 了 查 
出 哪些 端口 在 监听 ,进行 UDP 扫描 , 则 即 可 知 哪些 端口 对 UDP 是 开放 的 。Nmap 将 发 送 一 
个 UDP 包 到 每 个 端口 ,如 果 主 机 返回 端口 不 可 达 , 则 表示 端口 是 关闭 的 。 但 这 种 方法 受 时 
间 的 限制 ,因为 大 多 数 的 UNIX 主机 限制 ICMP 错误 速率 。 


# nmap - sU 192.168.7.7 

WARNING: - sU is now UDP scan 一 for TCP FIN scan use - SF 
Starting nmap V. 2. 12 by Fyodor (fyodor@dhp. com,www. insecure. org/nmap/) 
Interesting ports on saturnlink. nac. net (192.168.7.7): 
Port State Protocol Service 

53 open udp domain 

111 open udp sunrpc 

123 open udp ntp 

137 open udp netbios - ns 

138 open udp netbios — dgm 

177 open udp xdmcp 
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1024 open udp unknown 
Nmap run completed 一 1 IP address (1 host up) scanned in 2 seconds 


图 7. 13 是 一 次 对 sP、sS、sT 扫描 时 间 分 别 测试 的 结果 。 由 图 可 见 ,TCP SYN 扫描 速 

度 要 超过 TCP connectO 〇 扫描。 采用 默认 计时 选项 ,在 LAN 环境 下 扫描 一 个 主机 ,Ping 扫 

描 耗 时 不 到 10 秒 ,TCP SYN 扫描 需要 13 秒 多 ,而 TCP connect() 扫 描 耗 时 最 多 ,需要 大 约 
7 分 钟 。 


MDOWS\Syst 


insecure-org/nnap > at 2993 一 96 一 16 @8:28 


nned in 9-759 


http—p 


1 IP address <1 host up> scanned in 416.625 seconds 


图 7.13 扫描 时 间 测 试 结果 


Nmap 支持 丰富 、 灵 活 的 命令 行 参 数 。 如 果 要 扫描 192. 168. 7 号 网 络 , 可 以 用 
192. 168.7. 1/24 或 192. 168. 7. 0-255 的 形式 指定 IP 地 址 范围 。 指 定 端口 范围 使 用 -p 参数 ， 
如 果 不 指定 要 扫描 的 端口 ， Nmap 默认 扫描 从 1 到 1024 再 加 上 nmap-services 列 出 的 端口 。 

如 果 要 查看 Nmap 运行 的 详细 过 程 ,只 要 启用 verbose 模式 ,加 上 - 数 或 加 上 -vv 参 
数 获得 更 加 详细 的 信息 。 例 如 ,nmap -sS 192. 168. 7. 1-255 -p 20,21,53-110,30 000- -v 命 
令 ,表示 执行 一 次 TCP SYN 扫描 ,启用 verbose 模式 ， 要 扫描 的 网 络 是 192. 168.7 ,检测 20、 
21、53 到 110 以 及 30 000 以 上 的 端口 ( 指 人 定 端口 清单 时 中 间 不 要 插入 空格 )。 


3. 注意 事项 


也 许 你 对 其 他 类 型 端口 扫描 器 比较 熟悉 ,但 Nmap 绝对 值得 一 试 。 建 议 先 用 Nmap 扫 
描 一 个 熟悉 的 系统 ,感觉 一 下 Nmap 的 基本 运行 模式 ,熟悉 之 后 ,再 将 扫描 范围 扩大 到 其 他 
系统 。 首 先 扫描 内 部 网 络 看 看 Nmap 报告 的 结果 ,然后 从 一 个 外 部 IP 地 址 扫描 ,注意 防火 
墙 、 人 侵 检测 系统 (IDS) 以 及 其 他 工具 对 扫描 操作 的 反应 。 通 常 ,TCP connect() 会 引起 IDS 
系统 的 反应 ,但 IDS 不 一 定 会 记录 TCP SYN 扫描 。 最 好 将 Nmap 扫描 网 络 的 报告 整理 存 
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档 , 以 便 日 后 参考 。 

如 果 你 打算 熟悉 和 使 用 Nmap, 下 面 几 点 经 验 可 供 参 考 ; 

。 避免 误解 。 不 要 随意 选择 测试 Nmap 的 扫描 目标 。 许 多 单位 把 端口 扫描 视 为 恶意 
行为 ,所 以 测试 Nmap 最 好 在 内 部 网 络 进行 。 如 有 必要 ,应 该 告诉 同事 你 正在 试验 
端口 扫描 ,因为 扫描 可 能 引发 IDS 警报 以 及 其 他 网 络 问题 。 

*。 关闭 不 必要 的 服务 。 根 据 Nmap 提供 的 报告 (同时 考虑 网 络 的 安全 要 求 ) ,关闭 不 必 
要 的 服务 ,或 调整 路 由 器 的 访问 控制 列表 (ACL) 规 则 ,禁用 网 络 开放 给 外 界 的 某 些 
端口 。 

。 建立 安全 基准 。 在 Nmap 的 帮助 下 加 固 网 络 、 搞 清楚 哪些 系统 和 服务 可 能 受到 攻 
击 , 下 一 步 就 从 这 些 已 知 的 系统 和 服务 出 发 建立 一 个 安全 基准 。 


79 缓冲 区 溢出 攻击 实例 


缓冲 区 溢出 是 一 种 在 各 种 操作 系统 ,应 用 软件 中 广泛 存在 且 和 危险 的 漏洞 。 利 用 缓冲 区 
流出 攻击 可 以 导致 程序 运行 失败 、 系 统 骨 溃 , 甚 至 利用 它 可 以 执行 非 授权 指令 ,可 以 取得 系 
统 特权 ,进而 进行 各 种 非法 操作 。 


1. 缓冲 区 基础 


缓冲 区 存在 于 * 堆 ?或 者 * 栈 ”中 ,这 取决 于 缓冲 区 的 分 配方 式 。 因 此 ,缓冲 区 溢出 分 为 
“ 推 浇 出 ?> 和” 栈 浇 出”, 这 两 种 溢出 的 利用 方式 是 不 同 的 。 

(1) 几 个 重要 的 寄存 器 及 其 作用 

eax 寄存 器 : 通常 用 于 存放 函数 的 返回 值 。 

eip 寄存 器 : 存放 要 执行 的 下 一 条 指令 的 地 址 。 

ebp 寄存 器 : 栈 帧 的 基 址 。 

esp 寄存 器 : 栈 项 的 地 址 。 

栈 帧 其 实 就 是 栈 中 一 小 片 连续 的 内 存 。 在 程序 执行 过 程 中 ,一 个 函数 会 调用 另 一 个 函 
数 ,属于 这 个 函数 的 栈 部 分 就 叫 该 函数 的 栈 帧 ,属于 另 一 个 函数 的 栈 部 分 就 叫 另 一 个 函数 的 
栈 帧 。 

(2) 堆 和 栈 的 分 配 

new 和 malloc 的 变量 都 位 于 堆 中 ,而 局 部 变量 则 位 于 栈 中 。 

传统 的 说 法 都 是 堆 位 于 比 栈 更 低 的 地 址 ,但 在 Windows 中 , 堆 是 位 于 比 栈 更 高 的 地 址 。 
用 VC 写 个 程序 就 可 以 看 到 这 种 现象 , 堆 是 位 于 0x003XXXXX, 而 栈 是 位 于 0x0012XXXX 
或 者 0x0013XXXX。 

栈 是 由 高 地 址 向 低地 址 增长 的 ,而 堆 和 其 他 的 内 存 使 用 都 是 从 低地 址 到 高 地 址 。 

(3) 栈 的 环境 演示 

函数 1 调用 函数 2, 函数 2 调用 函数 3，…… ;函数 一 1 调用 函数 n, 栈 帧 如 图 7. 14 所 
示 。 再 把 栈 “ 放 大 ”一 点 ,以 便 看 得 更 详细 ,如 图 7. 15 所 示 。 
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0x00000000( 内 存 低 址 ) 


0xFFFFFFFF( 内 存 高 址 ) 


图 7.14 


(省 略 ) 


函数 n 的 栈 帧 


函数 2 的 栈 帧 
函数 1 的 栈 帧 


(省 略 ) 


栈 帧 图 (1) 


0x00000000( 内 存 低 址 ) 
es (Bh) 


函数 的 局 部 变量 


0xFFFFFFFF( 内 存 高 址 ) | 省略) 


图 7.15 栈 帧 图 (2) 


调用 一 个 函数 时 ,会 把 该 函数 的 参数 从 右 到 左 一 个 一 个 地 压 人 栈 里 ,因此 ,首先 压 和 人 栈 
的 是 最 后 一 个 参数 ,最 后 压 和 人 栈 的 是 第 一 个 参数 。 

从 ebp 往 下 ( 往 高 地 址 ) 包 括 ebp 的 地 方 都 是 调用 函数 的 栈 帧 ,从 ebp 往 上 ( 往 低地 址 ) 
不 包括 ebp, 是 被 调用 函数 的 栈 帧 。 

(4) call 和 ret 的 原理 

call 和 ret 这 两 条 指令 是 很 重要 的 ,必须 搞 清 楚 CPU 执行 这 两 条 指令 时 的 工作 。 

调用 一 个 函数 时 ,在 压 完 这 个 函数 的 所 有 参数 后 ,就 开始 执行 call 指令 执行 该 函数 。 
call 指令 做 的 事情 是 ,首先 CPU 会 把 下 一 条 指令 的 地 址 压 入 栈 中 ,以 便 该 函数 执行 完 后 知 
道 回 到 哪里 继续 执行 ,这 就 是 著名 的 “返回 地 址 ”。 如 : 


00421E23 .51 push ecx 

00421E24 . E8 F8F3FDFF call 00401221 

00421E29 . 83C4 0C add esp,0C 

00421E2C . 8945 E4 mov dword ptr [ebp IC],cax 

00421E2F . 8B55 E4 mov edx,dword ptr [ebp-1C] 

这 里 要 执行 0x00401221 函数 ,CPU 会 把 返回 地 址 (0x00421E29) 压 人 栈 中 ,然后 就 跳 到 

0x00401221 处 执行 。 栈 顶 也 就 由 

0012FF88 00000001 

0012FF8C 003B1028 

0012FF90 003B10B0 

0012FF94 7C930738 ntdll. 7C930738 
变 为 

0012FF84 00421E29 返回 到 seh. 二 模块 入 口 点 二 十 0E9 来 自 she. 00401221 

0012FF88 00000001 

0012FF8C 003B1028 

0012FF90 003B10B0 

0012FF94 7C930738 ntdll. 7C930738 
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在 执行 完 函 数 后 ,会 执行 ret 指令 ,如 : 


004015DA . 8BE5 mov espyebp 
004015DC 3 pop ebp 
004015DD .C3 retn 
004015DE .CC int3 


ret 指令 会 把 栈 顶 的 “返回 地 址 ? 弹 回 eip 中 ,然后 执行 “返回 地 址 ”处 的 指令 ,在 本 例 中 ， 
就 是 执行 0x00421E29 处 的 “add esp,0c” 指 令 。 


2. 缓冲 区 溢出 实例 说 明 
我 们 看 一 下 如 下 小 程序 : 


/* the overflow of the stackx / 
void Func(char * str) 
{ 
char buffer[4]; 
strcpy(buffer, str); 
上 
int main(int argc,char * argv[]) 
{ 
int i; char largestr[128]; 
for(i=0; i<128; i++) 
largestr[i] = 'A'; 
func(largestr); 
return 0; 


} 


该 程序 就 会 产生 缓冲 区 溢出 。 很 明显 buffer 只 有 4 字 节 , 却 用 一 个 128 字 节 来 填充 它 ， 
于 是 溢出 就 发 生 了 。 
缓冲 区 溢出 破坏 了 程序 的 堆栈 ,使 程序 出 现 特殊 的 问题 转 而 执行 其 他 指令 。 一 般 的 溢 
出 只 是 让 程序 运行 失败 。 但 如 果 黑 客 们 精心 设计 溢出 字符 串 , 则 可 以 达到 攻击 的 目的 。 最 
常见 的 手段 是 通过 制造 缓冲 区 溢出 使 程序 运行 一 个 用 户 shell ,再 通过 shell 执行 其 他 命令 。 
如 果 该 程序 属于 root 且 有 SUID 权限 ,攻击 者 就 会 获得 一 个 有 root 权限 的 shell, 继 而 就 可 
以 对 系统 进行 任意 操作 了 。 
1) Windows 下 的 例子 
在 执行 溢出 的 机 器 上 开 DOS(shell) ,只 要 很 简单 的 如 下 一 段 程序 : 
/* running in windows open command. com* / 
# include <windows. h> 
# include <winbase. h> 
typedef void ( * MYPROC) (LPTSTR) ; 
int main() 
{ 
HINSTANCE LibHandle; 
MYPROC ProcAdd; 
LibHandle = (MYPROC) GetProcAddress(LibHandle,"System"); // 查 找 systenm 函数 地 址 
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(ProcAdd) ("command. com"); // 相 当 于 执行 system("command. com") 
return 0; 


} 
2) Linux 下 的 例子 


UL 
/* open a shell 一 for linux */ 
# include< stdio. h> 
void main() 
{ 
char * name[2]; 
name[0] = "/bin/sh"; // 开 个 bash 
name[1] = NULL; 
execve(name[0],name,NULL) ; // 调 用 程序 
} 
只 要 到 这 里 就 获得 一 个 shell, 再 通过 shell 执行 其 他 命令 ,黑客 就 拥有 了 一 台所 掌控 的 
机 器 。 
缓冲 区 溢出 攻击 之 所 以 成 为 一 种 常见 的 安全 攻击 手段 ,其 原因 在 于 缓冲 区 游 出 漏洞 普 
遍 存 在 且 易 于 实现 。 缓冲 区 溢出 漏洞 为 攻击 者 希望 得 到 的 一 切 提 供 了 植 信 并 执行 攻击 代码 
的 便利 ,因此 缓冲 区 溢出 已 成 为 远程 攻击 的 主要 手段 。 被 植 入 的 攻击 代码 以 一 定 的 权限 运 
行 有 缓冲 区 溢出 漏洞 的 程序 ,从 而 得 到 被 攻击 主机 的 控制 权 。 


3. 缓冲 区 攻击 步骤 


对 root 程序 进行 试探 性 攻击 ,然后 执行 类 似 exec(sh) 的 执行 代码 来 获得 具有 root 权限 
的 shell。 

该 攻击 分 为 代码 安排 (在 程序 的 地 址 空间 里 安排 适当 的 代码 ) 和 控制 程序 执行 流程 ( 通 
过 适当 初始 化 寄存 器 和 内 存 使 程序 跳 到 安排 的 地 址 空间 执行 预先 设 定 好 的 程序 ) 两 个 步骤 。 

(1) 在 程序 的 地 址 空间 安排 适当 的 代码 

在 程序 的 地 址 空间 安排 适当 的 代码 的 方法 有 以 下 两 种 : 

QO@ 植 人 法 。 攻 击 者 向 被 攻击 的 程序 输入 一 个 字符 串 ,程序 会 把 这 个 字符 串 放 到 缓冲 
里 。 这 个 字符 串 包 含 的 资料 是 可 以 在 这 个 被 攻击 的 硬件 平台 上 运行 的 指令 序列 。 在 这 里 ， 
攻击 者 用 被 攻击 程序 的 缓冲 区 来 存放 攻击 代码 。 

@ 利用 已 经 存在 的 代码 。 该 方法 的 前 提 是 攻击 者 想 要 的 代码 已 经 在 被 攻击 的 程序 中 。 
攻击 者 所 要 做 的 只 是 对 代码 传递 一 些 参数 。 如 攻击 代码 要 求 执行 exec (“/bin/sh”) ,而 在 
libc 库 中 的 代码 执行 exec (arg) ,其 中 arg 是 指向 一 个 字符 串 的 指针 参数 ,那么 攻击 者 只 要 
把 传人 的 参数 指针 改 为 指向 /bin/sh 即 可 。 

(2) 控制 程序 转移 到 攻击 代码 

该 方法 可 通过 溢出 一 个 没有 边界 检查 的 缓冲 区 ,扰乱 程序 的 正常 执行 顺序 。 通 过 溢出 
缓冲 区 ,攻击 者 可 以 用 暴力 的 方法 改写 相 邻 的 程序 空间 而 直接 跳 过 系统 的 检查 。 

使 用 暴力 方法 寻求 改变 程序 指针 有 如 下 三 种 方法 : 

QO 堆栈 溢出 攻击 。 该 方法 强制 改变 函数 结束 时 返回 的 地 址 。 这 样 当 函数 调用 结束 时 ， 
程序 就 跳 转 到 攻击 者 设 定 的 地 址 ,而 不 是 原先 的 地 址 。 此 为 最 常用 的 缓冲 区 溢出 攻击 方式 。 
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@ 函数 指针 。 该 方法 通过 改变 函数 指针 来 定位 任何 地 址 空间 。 如 void (* foo)() 表 
明 一 个 返回 值 为 void 的 函数 指针 变量 foo, 所 以 攻击 者 只 需 在 任何 空间 内 的 函数 指针 附近 
找到 一 个 能 够 溢出 的 缓冲 区 ,然后 溢出 这 个 缓冲 区 来 改变 函数 指针 。 在 某 一 时 刻 , 当 程序 通 
过 函数 指针 调用 函数 时 ,程序 的 流程 就 按 攻击 者 的 意图 实现 了 。 

@ 长 跳 转 缓冲 区 。 该 方法 有 点 类 似 于 函数 指针 ,setjimp/longjmp 也 是 跳 转 。 


习题 和 思考 题 


、 问 答题 
. 简 述 病毒 的 特征 、 类 型 和 危害 。 
. 简 述 网 络 病 毒 的 传播 途径 和 特点 。 
. 简 述 病毒 的 发 展 趋势 。 
. 何 为 木马 和 蠕虫 ? 简 述 木马 和 蠕虫 的 特点 ,危害 和 预防 措施 。 
. 黑客 进行 的 攻击 主要 有 哪儿 种 类 型 ? 
. 简 述 黑客 攻击 的 手段 和 工具 。 
. 简 述 入 侵 检 测 系统 的 功能 .类 型 和 检测 过 程 。 
. 简 述 入 侵 防 护 系统 的 功能 和 应 用 。 
.网 络 系统 漏洞 主要 表现 在 哪 几 个 方面 ? 
10. 何 为 网 络 扫描 , 何 为 网 络 监听 ? 什么 样 的 用 户 可 以 进行 网 络 扫描 和 网 络 监 听 ? 
11. 有 哪儿 种 主要 的 端口 扫描 技术 ? 
12. 说 出 几 种 你 熟悉 或 使 用 的 防 病 毒 软件 、 网 络 扫 描 软 件 和 网 络 监 听 软 件 。 
13. 何 为 紧急 响应 ?紧急 响应 主要 有 哪儿 个 阶段 的 工作 ? 
二 、 填空 题 
1. 网 络 病毒 传播 的 途径 一 般 有 8 和 三 种 。 
2. 因特网 可 以 作为 文件 病毒 传播 的 :通过 它 , 文 件 病毒 可 以 很 方便 地 传送 到 
其 他 站 点 。 
3. 按 破坏 性 的 强 弱 不 同 ,计算 机 病毒 可 分 为 病毒 和 病毒 。 
4. 网 络 病毒 具有 传播 方式 复杂 、 和 破坏 危害 大 等 特点 。 
5. 防范 病毒 主要 从 和 两 方面 和 人手。 
6. 黑客 进行 的 网 络 攻击 通常 可 分 为 型 、 型 、 型 和 虚假 信息 
型 攻击 。 
过 攻击 是 指 通 过 向 程序 的 缓冲 区 写 入 超出 其 长 度 的 内 容 , 从 而 破坏 程序 的 堆 
栈 , 使 程序 转 而 执行 其 他 的 指令 ,以 达到 攻击 的 目的 。 
8. 攻击 是 攻击 者 通过 各 种 手段 来 消耗 网 络 带宽 或 服务 器 系统 资源 ,最 终 导致 
被 攻击 服务 器 资源 耗 尽 或 系统 崩溃 而 无 法 提供 正常 的 网 络 服务 。 
9. 入侵 检测 系统 IDS 是 一 种 的 安全 防护 措施 。 
10. 计算 机 网 络 系统 漏洞 的 主要 表现 有 系统 的 和 
11. IPS 技术 包括 基于 的 IPS 和 基于 网 络 的 IPS 两 大 类 。 
12. 中 国 计 算 机 紧急 响应 小 组 简称 为 


ci oo 加 四 上 上 性 


258 


计算 机 网 络 安全 ( 第 2 版 ) 


三 、 单 项 选择 题 
1. 网 络 病毒 不 具有 ( ) 的 特点 。 
A. 传播 速度 快 B. 清除 难度 大 C. 传播 方式 单一 D. 破坏 危害 大 


2. ( ，) 是 一 种 基于 远程 控制 的 黑客 工具 , 它 通 常 寄生 于 用 户 的 计算 机 系统 中 ,盗窃 
用 户 信息 ,并 通过 网 络 发 送 给 黑客 。 
A. 文件 病毒 B. 木马 C. 引导 型 病毒 D. 蠕虫 
Si ) 是 一 种 可 以 自我 复制 的 完全 独立 的 程序 , 它 的 传播 不 需要 借助 被 感染 主机 的 
其 他 程序 。 它 可 以 自动 创建 与 其 功能 完全 相同 的 副本 ,并 在 没 人 干涉 的 情况 下 自动 运行 。 


A. 文件 病毒 B. 木马 C. 引导 型 病毒 D. 蠕虫 
4. 端口 扫描 是 一 种 ( ) 型 网 络 攻击 。 

A. DoS B. 利用 C. 信息 收集 D. 虚假 信息 
a ) 攻 击 是 一 种 特殊 形式 的 拒绝 服务 攻击 , 它 采 用 分 布 协作 式 的 大 规模 攻击 

谭 或 > 

A. DDoS B. DoS C. 缓冲 区 溢出 D. IP 电子 欺骗 
6. 拒绝 服务 攻击 的 后 果 是 ( js 

A. 被 攻击 服务 器 资源 耗 尽 B. 无 法 提供 正常 的 网 络 服务 

C. 被 攻击 者 系统 崩溃 D. A、.B、C 都 可 能 


7. 在 网 络 安全 领域 ,网络 系统 “漏洞 "是 指 网 络 系统 硬件 、 软 件 或 策略 上 存在 的 缺陷 或 
脆弱 性 。 网 络 系统 (1) 主要 有 硬件 故障 、 网 络 线路 威胁 .电磁 辐射 和 存储 介质 脆弱 等 方 
面 ; 各 种 存储 器 中 存储 大 量 的 信息 ,这 些 (2) 很 容易 被 盗窃 或 损坏 ,造成 信息 的 丢失 ; 
网 络 系统 的 _(3) 通常 有 硬盘 故障 .电源 故障 .芯片 主板 故障 、 驱 动 器 故障 等 ，_ (4) 也 
面 对 各 种 威胁 ,非法 用 户 可 对 其 进行 物理 破坏 、 搭 线 窃听 、 通 过 未 保护 的 外 部 线路 访问 系统 
内 部 信息 等 。 

(1) A. 硬件 方面 的 漏洞 B. 软件 方面 的 漏洞 ”C. 硬件 故障 D. 存储 介质 

(2) A. 硬件 方面 的 漏洞 B. 软件 方面 的 漏洞 ”C. 硬件 故障 D. 存储 介质 

(3) A. 电源 故障 B. 通信 线路 C. 硬件 故障 D. 存储 介质 

(4) A. 电源 故障 B. 通信 线路 C. 硬件 故障 D. 存储 介质 

8. 入侵 防 护 系统 的 缩写 是 Q) ， (2) 是 指 计算 机 紧急 响应 小 组 ， (3) ”是 认证 
中 心 , 而 _〈4) 是 入 侵 检 测 系统 的 缩写 。 


(1) A. IDS B. IPS C. CERT D. CA 
(2) A. IDS B. IPS C. CERT D. CA 
(3) A. IDS B. IPS C. CERT D. CA 
(4) A. IDS B. IPS C. CERT D, CA 


Internet 安 全 


本 章 要 点 

TCP/IP 协议 及 其 安全 ; 

Web 站 点 安全 ; 

电子 邮件 安全 及 安全 设置 实例 ; 
Internet 欺骗 及 防范 ; 

360 安全 卫士 的 应 用 实例 。 


8.1 TCPIP 协议 及 其 安全 


TCP/IP 是 美国 DARPA 为 ARPANET 制定 的 一 种 异 构 网 络 互联 的 通信 协议 ,通过 它 
可 实现 各 种 异 构 网 络 或 异种 机 之 间 的 互联 通信 。TCP/IP 虽然 不 是 国际 标准 ,但 已 被 世界 
广大 用 户 和 厂商 所 接受 ,成 为 当今 计算 机 网 络 最 成 熟 \ 应 用 最 广 的 互联 协议 。 国 际 互联 网 
Internet 上 采用 的 就 是 TCP/IP 协议 。TCP/IP 协议 也 可 用 于 任何 其 他 网 络 ,如 局 域 网 ,以 
支持 异种 机 的 联网 或 异 构 型 网 络 的 互联 。TCP/IP 同样 适用 于 在 一 个 局 域 网 中 实现 异种 机 
的 互联 通信 。 网 络 上 各 种 各 样 的 计算 机 上 只 要 安装 了 TCP/IP 协议 ,它们 之 间 就 能 相互 通 
信 。 运 行 TCP/IP 协议 的 网 络 是 一 种 采用 包 ( 分 组 ) 交 换 的 网 络 。 


8.1.1 TCPIP 的 层次 结构 及 主要 协议 


1. TCP/IP 协议 的 层次 结构 


Internet 网 络 体系 结构 是 以 TCP/IP 协议 为 核心 的 。 基 于 TCP/IP 协议 的 网 络 体系 结 
构 与 OSI/RM 相 比 ,结构 更 简单 。TCP/IP 协议 分 为 4 层 , 即 网 络 接口 层 ,网 络 层 (IP 层 )、 
传输 层 (TCP 层 ) 和 应 用 层 。TCP/IP 的 层次 结构 及 与 OSI 结构 的 比较 如 图 8. 1 所 示 。 

。 网 络 接口 层 。 网 络 接口 层 与 OSI 模型 中 的 数据 链 路 层 和 物理 层 相对 应 。 事 实 上 ， 

TCP/IP 本 身 并 没有 这 两 层 ,而 是 其 他 通信 网 上 的 数据 链 路 层 和 物理 层 与 TCP/IP 
的 网 络 接口 层 进行 连接 。 网 络 接口 层 负 责 接收 IP 数据 报 , 并 把 这 些 数据 报 发 送 到 
指定 网 络 中 。 

。 网 络 层 。 网 络 层 要 解决 主机 到 主机 的 通信 问题 。 在 发 送 端 , 网 络 层 接受 一 个 请 求 ， 
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将 来 自传 输 层 的 一 个 报 文 分 组 ,连同 发 给 目 TMP OSI 

标 主机 的 表示 码 一 起 发 送出 去 。 网 络 层 把 这 | 应 用 层 二 
个 报 文 分 组 封装 在 一 个 IP 数据 报 中 ,再 填 好 | | - 会 话 层 
数据 报 报头 。 使 用 路 由 选择 算法 ,确定 是 将 | 传输 (TCP) 层 传输 导 
该 数据 报 直接 发 送 到 目标 主机 ,还 是 发 送 给 | 局 络 Ip 层 | 网 络 层 
一 个 网 间 连 接 器 ,然后 把 数据 报 传递 给 相应 | 二 
的 网 络 接口 再 发 送出 去 。 在 接收 端 ,网 络 层 [| 物 开导 


还 处 理 到 来 的 数据 报 , 校 验 数据 报 的 有 效 性 ， 图 8.1 TCP/IP 层次 结构 及 与 
删除 报头 ,使 用 路 由 选择 算法 确定 该 数据 报 OSI 结构 的 比较 

应 当 在 本 地 处 理 还 是 转发 出 去 等 。 

传输 层 。 传 输 层 的 基本 任务 是 提供 应 用 程序 之 间 的 通信 ,这 种 通信 通常 叫做 端 到 端 
通信 。 传 输 层 可 能 对 信息 流 有 调节 作用 ,也 能 提供 可 靠 传送 ,确保 数据 到 达 无 差错 、 
不 乱 序 。 为 此 ,在 接收 端 具备 发 回 确认 功能 和 要 求 重 发 丢失 报 文 的 功能 。 传 送 软 件 
把 发 送 的 数据 流 分 成 若干 小 段 有 时 把 这 些小 段 称 为 报 文 分 组 。 把 每 个 报 文 分 组 连 
同一 个 目标 地 址 一 道 传 递 给 网 络 层 , 以 便 发 送 。TCP/IP 为 传输 层 提供 了 两 个 主要 
的 协议 , 即 传输 控制 协议 TCP 和 用 户 数据 报 协议 UDP。 

应 用 层 。 应 用 层 为 协议 的 最 高 层 ,在 该 层 应 用 程序 与 协议 相互 配合 ,发 送 或 接收 数 
据 。 每 个 应 用 程序 应 选用 自己 的 数据 形式 。 数 据 形 式 可 以 是 一 系列 报 文 , 也 可 以 是 
一 种 字 节 流 。 不 管 哪 种 形式 ,都 要 把 数据 传递 给 传输 层 ,以 便 递交 出 去 。TCP/IP 
的 应 用 层 大 致 和 OSI 的 会 话 层 .表示 层 和 应 用 层 对 应 ,但 没有 明确 的 划分 。 它 包含 
远程 登录 (Telnet) ,文件 传输 (FTP) .电子 邮件 (CSMTP) ,域名 (DNS) 等 服务 。 


2. TCP/IP 的 主要 协议 


从 名 字 上 看 TCP/IP 似乎 只 包括 了 两 个 协议 , 即 TCP 协议 和 他 协议 ,但 事实 上 它 不 
只 两 个 协议 ,而 是 由 100 多 个 协议 组 成 的 协议 集 。TCP 和 全 是 其 中 两 个 最 重要 的 协议 ， 
因此 以 此 命名 。TCP 和 IP 两 个 协议 分 别 属于 传输 层 和 网 络 层 , 在 Internet 中 起 着 不 同 的 
作 上 


此 外 ,TCP/IP 协议 集 还 包括 一 系列 标准 的 协议 和 应 用 程序 ,如 在 应 用 层 上 有 远程 登录 
(Telnet) 协 议 、 文 件 传 输 协议 (FTP) 和 电子 邮件 协议 (SMTP) 等 ,它们 构成 了 TCP/IP 的 基 
本 应 用 程序 。 这 些 应 用 层 协 议 为 任何 联网 的 单机 或 网 络 提 供 了 互 操作 能 力 , 满 足 了 用 户 计 
算 机 入 网 共享 资源 所 需 的 基本 功能 。 

IP 协议 (Internet Protocol) 是 Internet 中 的 基础 协议 ,由 IP 协议 控制 的 协议 单元 称 为 
IP 数据 报 。IP 协议 提供 不 可 靠 的 . 尽 最 大 努力 的 、 无 连接 的 数据 报 传递 服务 。IP 协议 的 基 
本 任务 是 通过 互联 网 传输 数据 报 ,各 个 IP 数据 报 独 立 传输 。IP 协议 不 保证 传送 的 可 靠 性 ， 
在 主机 资源 不 足 的 情况 下 , 它 可 能 丢弃 某 些 数 据 报 , 同 时 IP 协议 也 不 检查 被 数据 链 路 层 丢 
弃 的 报 文 。 如 目的 主机 直接 在 本 地 网 中 ,IP 协议 将 直接 把 数据 报 传送 给 本 地 网 中 的 目的 主 
机 ; 如 目的 主机 是 在 远程 网 上 , 则 IP 将 数据 报 再 传送 给 本 地 路 由 器 ,由 本 地 路 由 器 将 数据 
报 传送 给 下 一 个 路 由 器 或 目的 主机 。 
TCP 协议 (Transmission Control Protocol) 尽 管 是 TCP/IP 协议 集中 的 主要 成 员 , 但 它 
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有 很 大 的 独立 性 , 它 对 下 层 网 络 协议 只 有 基本 的 要 求 ,很 容易 在 不 同 的 网 络 上 应 用 ,因而 可 
以 被 用 于 众多 的 网 络 上 。TCP 协议 是 在 IP 协议 提供 的 服务 基础 上 ,支持 面向 连接 的 、 可 靠 
的 传输 服务 。 发 送 方 TCP 模块 在 形成 TCP 报 文 的 同时 形成 一 个 类 似 于 校 验 和 的 “累计 核 
对 ”, 随 TCP 报 文 一 同 传输 。 接 收 方 TCP 模块 据 此 判断 传输 的 正确 性 , 若 不 正确 则 接收 方 
丢弃 该 TCP 报 文 ,否则 进行 应 答 。 发 送 方 若 在 规定 时 间 内 未 获得 应 答 则 自动 重 传 。TCP 
协议 内 部 通过 一 套 完整 状态 转换 机 制 来 保证 各 个 阶段 的 正确 执行 ,为 上 层 应 用 程序 提供 双 
向 \ 可 靠 、 顺 序 及 无 重复 的 数据 流传 输 服务 。 

UDP(User Data ProtocoD) 协 议 是 TCP/IP 协议 集中 与 TCP 协议 同 处 于 传输 层 的 通信 
协议 。 它 与 TCP 协议 不 同 的 是 ,UDP 是 直接 利用 IP 协议 进行 UDP 数据 报 的 传输 ,因此 
UDP 协议 提供 的 是 无 连接 、 不 保证 数据 完整 到 达 目 的 地 的 传输 服务 。 由 于 UDP 比 TCP 简 
单 得 多 ,又 不 使 用 很 繁琐 的 流 控制 或 错误 恢复 机 制 , 只 充当 数据 报 的 发 送 者 和 接收 者 ,因此 
开销 小 ,效率 高 ,适合 于 高 可 靠 性 、 低 延迟 的 LAN。 

在 局 域 网 中 所 有 站 点 共享 通信 信道 ,使 用 网 络 介质 访问 控制 层 的 MAC 地 址 来 确定 报 
文 的 发 往 目的 地 ,而 在 Internet 中 目的 地 地 址 是 靠 卫 地 址 来 确定 的 。 由 于 MAC 地 址 与 IP 
地 址 之 间 没 有 直接 的 对 应 关系 ,因此 需要 通过 TCP/IP 中 的 两 个 协议 动态 地 发 现 MAC 地 
址 和 了 P 地 址 的 关系 。 这 两 个 协议 是 地 址 解析 协议 ARP(Address Resolution Protocol) 和 逆 
向 地 址 解析 协议 RARP(Reverse Address Resolution Protocol) 。 利 用 ARP 协议 可 求 出 已 
知 IP 地 址 主机 的 MAC 地 址 ,而 RARP 协议 的 功能 是 由 已 知 主机 的 MAC 地 址 解析 出 其 IP 
地 址 。 

ICMP 就 是 一 种 面向 连接 的 协议 ,用 于 传输 错误 报告 控制 信息 。 由 于 IP 协议 提供 了 无 
连接 的 数据 报 传送 服务 ,在 传送 过 程 中 若 发 生 差错 或 意外 情况 则 无 法 处 理 数据 报 ,这 就 需要 
ICMP 协议 来 向 源 节点 报告 差错 情况 ,以 便 源 节点 对 此 做 出 相应 的 处 理 。 大 多 数 情况 下 ， 
ICMP 发 送 的 错误 报 文 返回 到 发 送 原 数 据 的 设备 ,因为 只 有 发 送 设 备 才 是 错误 报 文 的 逻辑 
接受 者 。 发 送 设备 随后 可 根据 ICMP 报 文 确定 发 生 错误 的 类 型 ,并 确定 如 何 才能 更 好 地 重 
发 失败 的 数据 报 。 


8.12 TCPIP 层次 安全 


TCP/IP 的 层次 不 同 提供 的 安全 性 也 不 同 ,例如 ,在 网 络 层 提供 虚拟 专用 网 络 ,在 传输 
层 提供 安全 套 接 层 服务 等 。 


1. 网 络 接口 层 的 安全 


网 络 接口 层 与 OSI 模型 中 的 数据 链 路 层 和 物理 层 相 对 应 。 物 理 层 安全 主要 是 保护 物 
理 线路 的 安全 ,如 保护 物理 线路 不 被 损坏 ,防止 线路 的 搭 线 窃听 ,减少 或 避免 对 物理 线路 的 
干扰 等 。 数 据 链 路 层 安全 主要 是 保证 链 路 上 传输 的 信息 不 出 现 差 错 ,保护 数据 传输 通路 畅 
通 , 保 护 链 路 数据 帧 不 被 截 收 等 。 

网 络 接口 层 安全 一 般 可 以 达到 点 对 点 间 较 强 的 身份 验证 、 保 密 性 和 连续 的 信道 认证 ,在 
大 多 数 情况 下 也 可 以 保证 数据 流 的 安全 。 有 些 安全 服务 可 以 提供 数据 的 完整 性 或 至 少 具有 
防止 欺骗 的 能 力 。 
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2. 网 络 层 的 安全 


网 络 层 安 全 主要 是 基于 以 下 几 点 考虑 : 

。 控制 不 同 的 访问 者 对 网 络 和 设备 的 访问 。 

。 划 分 并 隔离 不 同安 全 域 。 

。 防 止 内 部 访问 者 对 无 权 访 问 区 域 的 访问 和 误 操作 。 

IP 分 组 是 一 种 面向 协议 的 无 连接 的 数据 包 , 不 同 于 WAN 中 使 用 的 其 他 技术 ,因此 要 
对 其 施 以 安全 保护 。IP 包 是 可 共享 的 ,用 户 间 的 数据 在 子 网 中 要 经 过 很 多 节点 进行 传输 。 
从 安全 角度 讲 , 网 络 组 件 对 下 一 个 邻近 节点 并 不 了 解 。 因 为 每 个 数据 包 可 能 来 自 网 络 中 的 
任何 地 方 ,因此 如 认证 ,访问 控制 等 安全 服务 必须 在 每 个 包 基础 上 执行 。 又 由 于 IP 包 的 长 
度 不 同 , 可 能 要 考虑 每 个 数据 包 以 获得 与 安全 相关 的 信息 。 

国际 上 有 关 组 织 已 经 提出 了 一 些 对 网 络 层 的 安全 协议 进行 标准 化 的 方案 ,如 安全 协议 
3 号 (SP3) 就 是 美国 国家 安全 局 以 及 标准 技术 协会 作为 安全 数据 网 络 系统 (SDNS) 的 一 部 分 
而 制定 的 ,网 络 层 安全 协议 (NLSP) 是 由 国际 标准 化 组 织 为 无 连接 网 络 协 议 (CLNP) 制 定 的 
安全 协议 标准 ,等 等 。 事实 上 ,这 些 安全 协议 都 使 用 IP 封装 技术 。IP 封装 技术 将 纯 文本 的 
包 加 密 、 封 装 在 外 层 IP 报头 里 , 当 这 些 包 到 达 另 一 端 时 ,外 层 的 IP 报头 被 拆 开 , 报 文 被 解 
密 , 然 后 交付 给 收 端 用 户 。 网 络 层 安全 协议 可 用 来 在 Internet 上 建立 安全 的 IP 通道 和 虚拟 
专用 网 。 其 本 质 是 : 纯 文 本 的 包 被 加 密 , 封 装 在 外 层 的 IP 报头 里 ,用 来 对 加 密 的 包 进 行 
Internet 上 的 路 由 选择 ; 到 达 另 一 端 时 ,外 层 的 IP 报头 被 拆 开 , 报 文 被 解密 ,然后 送 到 收报 
地 点 。 


3. 传输 层 的 安全 


由 于 TCP/IP 协议 本 身 很 简单 ,没有 加 密 、 身 份 验证 等 安全 特性 ,因此 必须 在 传输 层 建 
立 安全 通信 机 制 为 应 用 层 提供 安全 保护 。 传 输 层 网 关 在 两 个 节点 之 间 代为 传递 TCP 连接 
并 进行 控制 。 常 见 的 传输 层 安全 技术 有 SSL、SOCKS 和 PCT 等 。 

在 Internet 应 用 程序 中 ,通常 使 用 广义 的 进程 间 通 信 (IPC) 机 制 来 与 不 同 层 次 的 安全 
协议 打交道 。 比 较 流 行 的 两 个 IPC 编程 界面 是 BSD Sockets 和 传输 层 界面 (TLD 。 

在 Internet 中 提供 安全 服务 的 一 个 想法 , 便 是 强化 它 的 IPC 界面 ,如 BSD Sockets。 具 
体 做 法 包括 双 端 实体 的 认证 数据 加 密 密 钥 的 交换 等 。Netscape 通信 公司 遵循 了 这 个 思 
路 ,制定 了 建立 在 可 靠 的 传输 服务 (如 TCP/IP 所 提供 ?基础 上 的 安全 套 接 层 (SSL) 协议 。 


4. 应 用 层 的 安全 


网 络 层 的 安全 协议 可 为 网 络 连接 建立 安全 的 通信 信道 ,传输 层 的 安全 协议 可 为 进程 之 
间 的 数据 通道 增加 安全 属性 。 本 质 上 ,这 意味 着 真正 的 数据 通道 还 是 建立 在 主机 (或 进程 
之 间 ,但 却 不 可 能 区 分 在 同一 通道 上 传输 的 一 个 具体 文件 的 安全 性 要 求 。 比 如 说 ,如 果 一 个 
主机 与 另 一 个 主机 之 间 建 立 起 一 条 安全 的 IP 通道 ,那么 所 有 在 这 条 通道 上 传输 的 IP 包 就 
都 要 自动 地 被 加 密 。 同 样 , 如 果 一 个 进程 和 另 一 个 进程 之 间 通 过 传输 层 安 全 协议 建立 起 了 
一 条 安全 的 数据 通道 ,那么 两 个 进程 间 传 输 的 所 有 消息 就 都 要 自动 地 被 加 密 。 

如 果 确 实 想 要 区 分 一 个 具体 文件 的 不 同安 全 性 要 求 , 那 就 必须 借助 于 应 用 层 的 安全 性 。 
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提供 应 用 层 的 安全 服务 实际 上 是 最 灵活 的 处 理 单 个 文件 安全 性 的 手段 。 例 如 ,一 个 电子 邮 
件 系统 可 能 需要 对 要 发 出 信件 的 个 别 段落 实施 数据 签名 。 较 低层 的 协议 提供 的 安全 功能 一 
般 不 会 知道 任何 要 发 出 的 信件 的 段落 结构 ,从 而 不 可 能 知道 该 对 哪 一 部 分 进行 签名 。 只 有 
应 用 层 是 唯一 能 够 提供 这 种 安全 服务 的 层次 。 

提供 应 用 层 的 安全 服务 ,实际 上 是 最 灵活 的 处 理 单个 文件 安全 性 的 手段 。 应 用 层 提 供 
的 安全 服务 ,通常 都 是 对 每 个 应 用 (包括 应 用 协议 分别 进行 修改 和 扩充 ,加 入 新 的 安全 功 
能 。 现 已 实现 的 TCP/IP 应 用 层 的 安全 措施 有 : 基于 信用 卡 安全 交易 服务 的 安全 电子 交易 
(SET) 协 议 , 基 于 信用 卡 提供 电子 商务 安全 应 用 的 安全 电子 付费 协议 (SEPP) ,基于 SMTP 
提供 安全 电子 邮件 安全 服务 的 私 用 强化 邮件 (PEM) ,基于 HTTP 协议 提供 Web 安全 使 用 
的 安全 性 超 文本 传输 协议 (S-HTTP) ,等 等 。 


82 Web 站 点 安全 
82.1 Web 概 述 


1. Web 


Web 又 称 World Wide Web( 万 维 网 ) , 它 就 像 一 张 附着 在 Internet 上 的 覆盖 全 球 的 信 
息 * 蜂 蛛网 ”, 镶 嵌 着 无 数 以 超 文本 形式 存在 的 信息 。 它 把 Internet 上 现 有 的 资源 统统 连接 
起 来 ,使 用 户 能 在 Internet 上 已 经 建立 Web 服务 器 的 所 有 站 点 提供 超 文 本 媒体 资源 文档 。 
这 是 因为 Web 能 把 各 种 类 型 的 信息 (静止 图 像 ,文本 声音 和 影像 ) 紧密 地 集成 在 一 起 , 它 不 
仅 提供 了 图 形 界面 的 快速 信息 查找 ,还 可 以 通过 同样 的 图 形 界面 (GUI) 与 Internet 的 其 他 
服务 器 对 接 。 

Web 是 Internet 中 最 受 欢迎 的 一 种 多 媒体 信息 服务 系统 。 整 个 系统 由 Web 服务 器 、 浏 
览 器 和 通信 协议 组 成 。 通 信 协 议 HTTP 能 够 传输 任意 类 型 的 数据 对 象 来 满足 Web 服务 器 
与 客户 之 间 多 媒体 通信 的 需要 。Web 带 来 的 是 世界 范围 的 超级 文本 服务 。 用 户 可 通过 
Internet 从 全 世界 任何 地 方 调 来 所 希望 得 到 的 文本 、 图 像 (包括 活动 影像 ) 和 声音 等 信息 。 
另外 ,Web 还 可 提供 其 他 的 Internet 服务 ,如 Telnet\FTP .Gopher 和 Usenet 等 。 

在 Web 网 站 上 ,不仅 可 以 传递 文字 信息 ,还 可 以 传递 图 形 .声音 .影像 .动画 等 多 媒体 信 
息 。Web 的 成 功 在 于 使 用 了 HTTP 超 文本 传输 协议 ,制定 了 一 套 标 准 的 、 易 为 人 们 掌握 的 
超 文本 标记 语言 HTML', 使 用 了 信息 资源 的 统一 定位 格式 URL。 我 们 可 以 把 Web 看 做 是 
一 个 图 书馆 ,而 每 一 个 网 站 就 是 这 个 图 书馆 中 的 一 本 书 。 每 个 网 站 都 包含 许多 画面 ,进入 该 
网 站 时 显示 的 第 一 个 画面 就 是 “主页 ?或 “首页 ”( 相 当 于 书 的 目录 ) ,而 同一 个 网 站 的 其 他 画 
面 都 是 “网 页 ”( 相 当 于 书页 ) 。 


2. HTTP 协议 


从 网 络 协议 的 角度 看 ,HTTP 是 对 TCP/IP 协议 集 的 扩展 ,作为 浏览 器 与 服务 器 间 的 
通信 协议 ,处 于 TCP/IP 层次 中 的 应 用 层 。 
HTTP 是 一 种 无 状态 协议 , 即 服务 器 不 保留 与 客户 交易 时 的 任何 状态 。 这 可 大 大 减轻 


263 


264 


计算 机 网 络 安全 ( 第 2 版 ) 


服务 器 的 存储 负担 ,从 而 保持 较 快 的 响应 速度 。HTTP 又 是 一 种 面向 对 象 的 协议 ,允许 传 
送 任意 类 型 的 数据 对 象 。 它 通过 数据 类 型 和 长 度 来 标识 所 传送 的 数据 内 容 和 大 小 ,并 允许 
对 数据 进行 压缩 传送 。 浏 览 器 软件 配置 于 用 户 端 计算 机 上 ,用户 发 出 的 请 求 通过 浏览 器 分 
析 后 , 按 HTTP 规范 送 给 服务 器 ,服务 器 按 用 户 需求 ,将 HTML( 超 文本 标记 语言 ) 文 档 送 
回 给 用 户 。 


3. 超 文 本 标记 语言 (HTML) 


HTML 是 Web 的 描述 语言 。 设 计 HTML 语言 的 目的 是 为 了 能 把 存放 在 一 台电 脑 中 
的 文本 或 图 形 与 男 一 台电 脑 中 的 文本 或 图 形 方便 地 联系 在 一 起 ,形成 有 机 的 整体 。 人 们 不 
用 考虑 具体 信息 是 在 当前 电脑 上 还 是 在 网 络 的 其 他 电脑 上 。 这 样 用 户 只 要 使 用 鼠标 在 某 一 
文档 中 点 击 一 个 图 标 ,Internet 就 会 马上 转 到 与 此 图 标 相关 的 内 容 上 去 ,而 这 些 信息 可 能 存 
放 在 网 络 的 另 一 台电 脑 中 。 


4. Web 服务 器 和 浏览 器 


Internet 上 有 大 量 的 Web 服务 器 ,这 些 Web 服务 器 上 汇集 了 大 量 的 信息 。Web 服务 
器 就 是 管理 这 些 信 息 ,并 与 Web 浏览 器 打交道 。Web 服务 器 处 理 来 自 Web 浏览 器 的 用 户 
请 求 ,将 满足 用 户 要 求 的 信息 返回 给 客户 。 

Web 浏览 器 是 客户 阅读 Web 上 信息 的 客户 端 软件 。 如 果 用 户 在 本 地 机 器 上 安装 了 
Web 浏览 器 软件 ,就 可 读 取 Web 服务 器 上 的 信息 。Web 浏览 器 将 Web 上 的 多 媒体 信息 转 
换 成 我 们 可 以 看 得 到 、 听 得 见 的 文字 、 图 形 和 声音 。 现 在 越 来 越 多 的 浏览 器 都 提供 了 插件 型 
多 媒体 播放 功能 。 常 用 的 Web 浏览 器 软件 有 Netscape Communicator 和 Internet Explorer 
(简称 IE) 。IE 中 文 版 是 微软 公司 推出 的 Web 客户 端 程序 ,是 专门 为 Windows 设计 的 访问 
Internet 的 Web 浏览 工具 , 它 基 于 Windows 9x/NT/2000/XP 等 环境 。 使 用 Web 浏览 器 可 
在 Internet 上 方便 地 浏览 网 页 文件 ,这 些 网 页 文件 包括 文本 .图形 图 像 .语音 等 多 媒体 信息 。 


5. Web 服务 的 基本 过 程 


Web 最 吸引 人 的 地 方 是 它 的 “简单 性 ”, 其 工作 过 程 也 是 客户 机 /服务 器 模式 。Web 的 
工作 可 分 为 四 个 基本 阶段 : 连接 、 请 求 、 响 应 和 关闭 ,它们 都 属于 HTTP 的 下 层 基 础 。 这 四 
个 过 程 是 : 信息 资源 以 网 页 (HTML 文件 ) 形 式 存 储 在 Web 服务 器 中 , 当 用 户 希 望 得 到 某 
种 信息 时 ,要 先 与 Internet 沟通 连接 (上 网 ), 然 后 用 户 通 过 Web 客户 端 程序 (浏览 器 ) 向 
Web 服务 器 发 出 请 求 ; Web 服务 器 根据 客户 的 请 求 给 予 响应 ,将 在 Web 服务 器 中 存放 的 、 
符合 用 户 要 求 的 某 个 网 页 发 送 给 客户 端 ,浏览 器 在 收 到 该 页 面 后 对 其 进行 解释 ,最 终 将 图 文 
等 信息 呈现 给 客户 ; 一 次 Web 服务 操作 结束 后 ,关闭 此 次 连接 ,或 用 户 根据 需要 再 进行 下 
一 次 的 请 求 。 这 样 ,我 们 可 以 通过 网 页 中 的 链接 ,方便 地 访问 位 于 其 他 Web 服务 器 中 的 页 
面 或 其 他 类 型 的 网 络 信息 资源 。 

Web 服务 器 集成 了 所 有 的 视觉 辅助 效果 来 表示 信息 ,这 些 信息 可 以 有 多 种 格式 存在 ， 
易于 浏览 和 理解 。 例 如 ,在 讨论 复杂 问题 时 ,可 以 使 用 图 表 、 影 像 剪 辑 甚 至 交互 式 应 用 程序 ， 
而 不 仅仅 是 字符 文本 ,这 样 便于 解释 论题 ,使 人 一 目 了 然 。 与 其 他 信息 发 布 工具 相 比 , Web 
服务 由 于 所 需 的 费用 很 低 并 且 覆 盖 面 广 ,因而 具有 很 大 的 吸引 力 。 另 外 ,使 用 各 种 搜索 机 制 
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和 Web 站 点 分 类 目录 数据 库 注 册 一 个 Web 站 点 ,可 以 使 客户 在 需要 时 得 到 所 需 的 信息 。 


822 Web 的 安全 需求 


二 


Web 应 用 的 威胁 


Web 服务 在 为 人 们 带 来 大 量 信息 的 同时 ,也 接受 了 严峻 的 考验 , 即 Web 应 用 的 安全 性 
受到 了 极 大 的 威胁 。Web 应 用 面临 的 主要 威胁 有 : 


2 


信息 泄露 。 攻 击 者 可 通过 各 种 手段 ,非法 访问 Web 服务 器 或 浏览 器 ,获取 敏感 信 
息 ; 或 中 途 截获 Web 服务 器 和 浏览 器 之 间 传 输 的 敏感 信息 ; 或 由 于 系统 配置 软件 
等 原因 无 意 泄露 敏感 信息 。 

拒绝 服务 。 攻 击 者 可 在 短 时 间 内 向 目标 机 器 发 送 大 量 的 正常 的 请 求 包 , 并 使 目标 机 
器 维持 相应 的 连接 ; 或 发 送 需 要 目标 机 器 解析 的 大 量 无 用 的 数据 包 , 使 得 目标 机 器 
的 资源 耗 尽 ,根本 无 法 响应 正常 的 服务 。 

系统 崩溃 。 攻 击 者 可 通过 Web 复 改 .毁坏 信息 ,甚至 算 改 ,删除 关键 性 文件 .格式 化 
磁盘 等 使 Web 服务 器 或 浏览 器 崩溃 。 


Web 服务 器 的 安全 需求 


(1) Web 服务 器 的 不 安全 因素 
Web 服务 器 上 的 漏洞 可 涉及 以 下 几 方 面 因素 : 


在 Web 服务 器 上 存在 秘密 文件 .目录 或 重要 数据 。 

从 远程 用 户 向 服务 器 发 送信 息 时 ,特别 是 信用 卡 之 类 东西 时 ,中 途 可 能 遭 不 法 分 子 
非法 拦截 。 

Web 服务 器 本 身 存在 一 些 漏洞 ,使 得 一 些 人 可 能 侵入 到 主机 系统 ,破坏 一 些 重要 的 
数据 ,甚至 造成 系统 瘫痪 。 

用 CGI 脚本 编写 的 程序 , 当 涉及 到 远程 用 户 从 浏览 器 中 输入 表格 ,并 进行 检索 或 在 
主机 上 直接 操作 命令 时 ,可 能 会 给 Web 主机 系统 造成 危险 。 


因此 ,不管 是 配置 服务 器 ,还 是 在 编写 CGI 程序 时 都 要 注意 系统 的 安全 性 。 尽 量 堵 住 
任何 存在 的 漏洞 ,创造 安全 的 环境 。 
(2) Web 服务 器 的 安全 需求 


维护 公布 信息 的 真实 性 和 完整 性 。 

维护 Web 服务 的 安全 可 用 。 

保护 Web 访问 者 的 隐私 。 

保护 Web 服务 器 不 被 攻击 者 作为 “跳板 ”。 


(3) Web 服务 器 的 安全 防护 措施 


限制 在 Web 服务 器 开 账户 ,定期 删除 一 些 中 断 进程 的 用 户 。 

对 在 Web 服务 器 上 开 的 账户 ,在 口令 长 度 及 定期 更 改 方面 作出 要 求 , 防 止 被 次 用。 
尽量 与 FTP 服务 器 、E-mail 服务 器 等 分 开 ,去 掉 无 关 的 应 用 。 

在 Web 服务 器 上 将 那些 绝对 不 用 的 系统 删除 掉 。 
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。 定期 查看 服务 器 中 的 日 志 logs 文件 ,分 析 一 切 可 疑 事件 。 

。 设置 好 Web 服务 器 上 系统 文件 的 权限 和 属性 ,对 允许 访问 的 文档 分 配 一 个 公用 的 
组 (如 WWW 组 ), 并 只 给 它 分 配 “ 只 读 ” 权 限 。 把 所 有 的 HTML 文件 归属 WWW 组 ， 
由 Web 管理 员 管 理 WWW 组 。 对 于 Web 配置 文件 仅 授予 Web 管理 员 “ 写 ”权限 。 


3. Web 浏览 器 的 安全 要 求 


Web 浏览 器 可 为 客户 提供 一 个 简单 实用 且 功 能 强大 的 图 形 化 界面 ,使 得 客户 不 必 经 过 
专业 化 训练 即 可 在 网 络 里 漫游 。 但 使 用 Web 浏览 器 的 客户 可 能 随时 遇 到 安全 问题 ,因此 ， 
一 般 对 Web 浏览 器 也 有 如 下 安全 要 求 : 

。 确保 运行 浏览 器 的 系统 不 被 病毒 或 其 他 恶意 程序 侵害 而 被 破坏 。 

。 确 保 客户 个 人 安全 信息 不 外 汇 。 

。 确保 交互 的 站 点 的 真实 性 ,以 免 被 欺骗 ,遭受 损失 。 


4. Web 传输 的 安全 要 求 


在 Internet 上 ,Web 服务 器 和 Web 浏览 器 之 间 的 信息 交换 是 通过 数据 包 在 Internet 中 
传输 实现 的 。 那 么 ,这些 传输 过 程 的 安全 要 求 是 很 重要 的 。 因 为 Web 数据 的 传输 过 程 直接 
影响 着 Web 应 用 的 安全 。 不 同 的 Web 应 用 对 安全 传输 有 不 同 的 要 求 ,通常 有 : 

。 保证 传输 信息 的 真实 性 。 

。 保证 传输 信息 的 完整 性 。 

。 保证 传输 信息 的 保密 性 。 

。 保证 信息 的 不 可 和 否认 性 。 

。 保证 信息 的 不 可 重用 性 。 


5. Web 安全 


浏览 Web 页 面 或 许 是 人 们 最 常用 的 访问 Internet 的 方式 。 一 般 的 浏览 也 许 并 不 会 让 
人 产生 不 妥 的 感觉 ,可 是 当 用 户 填写 表单 数据 时 ,用 户 有 没有 意识 到 自己 的 私人 敏感 信息 可 
能 被 一 些 居 心 区 测 的 人 截获 ,而 如 果 用 户 或 用 户 的 公司 要 通过 Web 进行 一 些 商 业 交 易 , 又 
如 何 保证 交易 的 安全 呢 ? 
一 般 来 讲 , Web 站 点 上 的 交易 可 能 带 来 的 安全 问题 有 : 
。 诈骗 。 建 立 网 站 是 一 件 很 容易 且 花 钱 不 多 的 事 , 有 人 其 至 直接 拷贝 别人 的 页 面 。 
此 伪装 一 个 商业 机 构 非 常 简单 ,然后 它 就 可 以 让 访问 者 填 一 份 详细 的 注册 资料 ,还 
假装 保证 个 人 隐私 ,而 实际 上 就 是 为 了 获得 访问 者 的 隐私 。 调 查 显示 ,邮件 地 址 和 
信用 卡号 的 泄露 大 多 是 这 样 的 。 
。 泄露 。 当 交易 的 信息 在 Internet 上 明码 传播 时 ,窃听 者 可 以 很 容易 地 截取 并 提取 其 
中 的 敏感 信息 。 
。 算 改 。 攻 击 者 截取 了 信息 后 还 可 以 做 一 些 更 “高 明 ” 的 工作 ,可 以 将 其 中 某 些 域 的 值 
蔡 换 成 自己 所 需要 的 信息 ,如 姓名 、 信 用 卡号 ,甚至 金额 ,以 达到 自己 的 目的 。 
。 攻击 。 主 要 是 对 Web 服务 器 的 攻击 ,例如 著名 的 DDoS( 分 布 式 拒绝 服务 攻击 ) 。 攻 
击 的 发 起 者 可 以 是 心怀 恶意 的 个 人 ,也 可 以 是 同行 的 竞争 者 。 


第 8 章 Internet 安 全 


为 了 透明 地 解决 Web 应 用 的 安全 问题 ,最 合适 的 和 人手 点 是 浏览 器 。 现 在 ,无 论 是 
Internet Explorer, 还 是 Netscape Navigator, 都 支持 SSL 协议 。 这 是 一 个 在 传输 层 和 应 用 
层 之 间 的 安全 通信 层 , 在 两 个 实体 进行 通信 之 前 , 先 要 建立 SSL 连接 ,以 此 实现 对 应 用 层 透 
明 的 安全 通信 。 利 用 PKI( 公 钥 基 础 设施 ) 技 术 ,SSL 协议 允许 在 浏览 器 和 服务 器 之 间 进行 
加 密 通信 。 此 外 ,还 可 以 利用 数字 证 书 保证 通信 安全 ,服务 器 端 和 浏览 器 端 分 别 由 可 信 的 第 
三 方 颁发 数字 证 书 。 这 样 , 在 交易 时 双方 可 以 通过 数字 证 书 确认 对 方 的 身份 。 需 要 注意 的 
是 ,SSL 协议 本 身 并 不 能 提供 对 不 可 否认 性 的 支持 ,这 部 分 工作 必须 由 数字 证 书 完成 。 

结合 SSL 协议 与 数字 证 书 ,PKI 技术 可 以 保证 Web 交易 多 方面 的 安全 需求 ,使 Web 上 
的 交易 和 面对面 的 交易 一 样 安全 。 


83 电子 邮件 安全 


83.1 电子 邮件 的 安全 漏洞 和 威胁 


电子 邮件 服务 十 分 脆弱 ,用 户 向 Internet 上 的 另 一 个 人 发 送 E-mail 时 ,不 仅 信件 像 明 
信 片 一 样 是 公开 的 ,而 且 也 不 知道 在 到 达 目 的 地 之 前 ,信件 经 过 了 多 少 节点 。E-mail 服务 
器 向 全 球 开 放 , 它 们 很 容易 受到 黑客 的 袭击 。Web 提供 的 阅读 器 也 容易 受到 类 似 的 侵袭 。 
Internet 像 一 个 蜂 蛛 网 ,E-mail 到 达 收 件 人 之 前 ,会 经 过 很 多 机 构 和 ISP, 因 此 任何 人 ,只 要 
可 以 访问 这 些 服务 器 ,或 访问 E-mail 经 过 的 路 径 , 就 可 以 阅读 这 些 信息 。 

E-mail 上 存在 如 下 一 些 安全 漏洞 。 


1. Web 信箱 的 漏洞 


Web 信箱 是 通过 浏览 器 访问 的 ,部 分 技术 水 平 不 高 的 站 点 存在 着 严重 的 安全 漏洞 。 比 
如 用 户 在 公共 场所 (例如 网 吧 ) 上 网 浏览 自己 的 邮件 ,那么 在 你 关 掉 当前 浏览 页 面 离开 后 , 别 
人 利用 浏览 器 做 简单 操作 后 即 可 看 到 用 户 刚才 浏览 过 的 邮件 。 如 果 用 户 在 该 机 器 上 注册 了 
新 的 信箱 ,其 个 人 资料 就 会 很 容易 地 泄密 。 


2. 密码 问题 


很 多 人 都 在 强调 密码 的 重要 性 ,然而 事实 上 ,很 多 用 户 名 设置 的 密码 都 是 很 简单 .可 猜 
测 的 。 如 果 要 想 设置 一 个 好 的 密码 ,就 要 站 在 一 个 破解 者 的 角度 去 思考 。 破 解 者 最 容易 想 
到 的 就 是 生日 、 用 户 名 电话 号 码 、 信 用 卡号 码 、 执 照 或 证 书号 码 等 ,虽然 这 些 是 我 们 生活 中 
最 容易 记 住 的 ,但 也 是 最 容易 被 别人 猜 到 的 。 如 果 选 择 的 密码 在 字母 中 夹杂 一 些 数 字 和 符 
号 ,其 安全 性 就 要 好 得 多 。 


3. 监听 问题 


邮件 监听 可 分 为 局 域 网 内 的 监听 和 来 自信 箱 内 部 的 监听 两 种 监听 方式 。 一 般 , 使 用 嗅 
探 器 可 对 局 域 网 内 传输 的 数据 进行 监听 。 因 为 POP3 协议 通常 都 是 明文 传输 ,所 以 很 容易 
就 被 嗅 探 器 嗅 探 到 邮箱 密码 。 而 使 用 浏览 器 进行 收发 邮件 就 显得 相对 安全 一 些 。 当 用 户 密 
码 被 破解 之 后 ,攻击 者 并 没有 修改 密码 ,而 是 把 信箱 设置 成 转发 邮件 到 攻击 者 的 信箱 ; 然后 
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再 在 他 的 信箱 中 设置 转发 邮件 到 这 个 被 破解 密码 的 信箱 ,同时 设置 “保留 备份 ”。 这 样 攻击 
者 就 可 以 完全 控制 该 信箱 的 流量 了 ,因为 当 他 想 让 用 户 收 邮件 的 时 候 就 转发 ,不 想 让 收 邮件 
时 就 取消 转发 ,这 种 方法 相当 隐蔽 。 


4. 缓存 的 危险 


用 下 浏览 器 在 浏览 网 页 时 ,会 在 硬盘 上 开 一 个 临时 交换 空间 ,这 就 是 缓存 。 缓 存 可 能 
成 为 攻击 者 的 目标 ,因为 有 些 信箱 使 用 Cookie 程序 (浏览 器 中 一 种 用 来 记录 访问 者 信息 的 
文件 ) 并 以 明文 形式 保存 密码 ,同时 浏览 过 的 所 有 的 网 页 都 在 这 个 缓存 内 ,如 果 缓 存 被 拷贝 ， 
用 户 的 私人 信息 就 不 存在 秘密 了 。 


5. 冒名 顶替 


由 于 普通 的 电子 邮件 缺乏 安全 认证 ,所 以 冒充 别人 发 送 邮 件 并 不 是 难事 。 曾 几何 时 , 假 
借 某 某 公 司 发 送 中 奖 信息 的 电子 邮件 就 不 知道 害 了 多 少 人 。 如 果 用 户 不 想 让 别人 冒充 自己 
的 名 义 发 送 邮件 ,可 以 采用 数字 证 书 发 送 签名 /加 密 邮 件 , 这 种 方式 已 经 被 证 明 是 解决 邮件 
安全 问题 的 好 办 法 。 

6. 病毒 .蠕虫 和 木马 

病毒 .蠕虫 和 木马 这 三 种 恶意 代码 通常 附加 在 电子 邮件 的 附件 中 ,用 户 一 旦 打开 这 些 附 
件 就 可 能 运行 这 些 代 码 ,并 可 能 破坏 主机 系统 的 数据 或 将 计算 机 变 成 可 被 远程 控制 的 “ 肉 
鸡 ”, 甚 至 可 以 导致 收 件 人 经 济 上 的 巨大 损失 。 比 如 有 一 种 称 为 键盘 记录 器 的 木马 ,可 以 秘 
密 地 记录 系统 活动 ,可 以 诱 使 外 部 的 恶意 用 户 访问 公司 的 银行 账户 ,企业 的 内 部 网 站 及 其 他 
的 秘密 资源 。 


7. 网 络 钓鱼 


网 络 钓鱼 (Phishing) 是 通过 大 量 发 送 声称 来 自 于 银行 或 其 他 知名 机 构 的 欺骗 性 垃圾 邮 
件 ,引诱 收 信人 给 出 敏感 信息 的 一 种 攻击 方式 。 攻 击 者 利用 欺骗 性 的 电子 邮件 和 伪造 的 
Web 站 点 来 进行 网 络 诈骗 活动 。 受 骗 者 往往 会 泄露 自己 的 私人 资料 ,如 信用 卡号 .银行 卡 
账户 .身份 证 号 等 内 容 。 诈 骗 者 通常 会 将 自己 伪装 成 网 络 银行 、 在 线 零 售 商 和 信用 卡 公司 等 
可 信 的 品牌 ,骗取 用 户 的 私人 信息 。 


8. 垃圾 邮件 

垃圾 邮件 虽然 不 像 病毒 感染 一 样 是 一 种 明显 的 威胁 ,但 可 以 很 快 充满 用 户 的 收 件 箱 ,使 
得 用 户 难以 接收 合法 的 电子 邮件 。 垃 圾 邮件 还 是 钓鱼 者 和 病毒 制造 者 喜欢 的 传播 媒介 。 
832 电子 邮件 欺骗 


1 匿名 转发 


在 正常 的 情况 下 ,发 送 电子 邮件 都 会 将 发 送 者 的 名 字 和 地 址 包含 进 邮 件 的 附加 信息 中 。 
但 是 ,有 时 发 送 者 将 邮件 发 送出 去 后 不 希望 收 件 者 知道 是 自己 发 的 ,因此 将 附加 信息 中 的 名 
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字 和 地 址 改 为 他 人 的 。 这 种 发 送 邮件 的 方法 被 称 为 匿名 转发 。 

实现 匿名 转发 的 一 种 最 简单 的 方法 就 是 改变 电子 邮件 软件 里 发 送 者 的 名 字 。 但 这 是 一 
种 表面 现象 ,因为 通过 信息 表 头 中 的 其 他 信息 , 仍 能 够 跟踪 发 送 者 。 而 让 发 信者 地 址 完全 不 
出 现在 邮件 中 的 唯一 方法 是 让 其 他 人 转发 该 邮件 ,邮件 中 的 发 信人 地 址 就 变 成 了 转发 者 的 
地 址 了 。 

现在 Internet 上 有 大 量 的 匿名 转发 者 (或 称 为 匿名 服务 器 ) ,发 送 者 将 邮件 发 送 给 匿名 
转发 者 ,并 告诉 这 个 邮件 希望 发 送 给 谁 。 该 匿名 转发 者 删 去 所 有 的 返回 地 址 信息 ,再 转发 给 
真正 的 收 件 人 ,并 将 自己 的 地 址 作为 返回 地 址 插入 邮件 中 。 

有 人 认为 ,使 用 匿名 转发 的 动机 是 可 疑 的 ,发 送 的 可 能 是 非法 的 ,恐怖 的 ,不 健康 的 信 
息 。 实 际 上 并 不 尽 然 。 匿 名 转发 有 一 些 重 要 的 合法 使 用 ,例如 一 些 胆 导 的 人 可 以 参加 某 种 
心理 方面 的 讨论 组 ,可 以 就 一 些 难 以 启齿 的 问题 向 专家 咨询 等 。 从 安全 的 角度 考虑 ,匿名 转 
发 也 是 有 利 的 。 例 如 发 送 敏感 信息 ,隐藏 发 送 者 的 信息 可 以 使 窥 窃 者 不 知道 信息 的 来 源 及 
这 一 信息 是 否 有 用 。 


2. 垃圾 邮件 


垃圾 邮件 ,顾名思义 就 是 不 请 自 来 的 .大 量 散 发 的 、 对 接收 者 无 用 的 邮件 。 垃 圾 邮件 是 
未 经 收 件 者 同意 , 即 大 量 散 发 的 邮件 ,信件 内 容 多 半 以 促销 商品 为 目的 。 它 们 可 能 是 某 些 有 
商业 企图 的 人 想 利用 Internet 散播 广告 或 色情 的 媒介 。 

严格 说 来 ,垃圾 邮件 是 一 种 旨 窃 行为 。 传 送 Mail 者 只 需 花 极 少 的 代价 , 即 可 造成 收 件 
者 的 重大 损失 。 假 设 一 个 人 在 每 星期 收 到 几 十 封 垃圾 邮件 ,个 人 用 户 的 损失 并 非 立即 显现 ， 
但 若 企 业内 每 个 人 都 收 到 此 类 信件 时 ,这 对 企业 网 络 环境 的 影响 就 不 仅仅 是 一 件 麻 烦 事 了 。 
这 些 垃 圾 邮件 对 企业 无 任何 益处 ,但 是 SMTP 服务 器 却 要 承担 这 些 邮 件 的 处 理 和 转发 工 
作 。CPU、 服 务 器 硬盘 空间 终端 机 用 户 硬盘 空间 都 因此 而 影响 了 速度 和 空间 。 网 络 资源 
被 这 些 毫 无 价值 的 信件 利用 来 分 类 、 存 储 和 寄 发 ,而 那些 真正 对 接收 者 有 用 的 、 含 有 重大 商 
机 的 邮件 却 被 洽 没 在 垃圾 邮件 中 。 垃 圾 邮件 除了 浪费 网 络 资源 外 ,更 令 人 担心 的 是 其 附件 
文件 可 能 夹带 病毒 ,这 些 病毒 将 会 危害 企业 网 络 ; 附件 网 址 可 能 附加 Java 或 ActiveX 等 恶 
性 程序 ,许多 特洛伊 木马 病毒 就 会 借 此 大 量 扩散 。 可 以 想象 ,如 果 让 这 些 未 经 许可 的 垃圾 邮 
件 继续 为 所 欲 为 ,将 造成 企业 多 大 的 损失 。 

虽然 垃圾 邮件 可 能 以 任何 形式 出 现 , 但 还 是 有 迹 可 寻 的 ,它们 有 以 下 特点 : 

。 发 信者 本 身 的 邮件 地 址 也 是 假冒 的 。 当 用 户 收 到 各 项 难以 置信 的 中 奖 通知 特价 优 
惠 等 好 消息 时 需要 提高 警觉 。 
邮件 内 容 的 文法 或 错字 百出 。 
频繁 使 用 大 写字 体 和 惊叹 语词 。 
。 大 部 分 的 内 容 为 广告 或 电话 服务 。 


3. 电子 邮件 炸弹 


电子 邮件 炸弹 是 指 发 送 者 以 来 历 不 明 的 邮件 地 址 ,重复 地 将 电子 邮件 邮寄 给 同一 个 收 
信人 。 由 于 这 就 像 战争 中 利用 某 种 战争 工具 对 同一 个 地 方 进 行 的 大 禾 炸 一 样 ,因此 称 为 电 
子 邮件 炸弹 。 电 子 邮件 炸弹 是 最 古老 的 匿名 攻击 方法 之 一 。 这 种 以 重复 的 信息 不 断 地 进行 
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的 电子 邮件 友 炸 操作 ,可 以 消耗 大 量 的 网 络 资源 。 因 为 互联 网 上 网 络 主机 系统 分 配给 一 般 
账户 的 硬盘 容量 是 有 限 的 ,而 在 这 有 限 的 容量 中 ,除了 要 处 理 电 子 邮 件 外 ,一 般 还 会 用 来 下 
载 软件 或 存储 个 人 主页 等 。 用 户 如 果 在 短 时 间 内 收 到 大 量 的 电子 邮件 ,总 容量 将 超过 用 户 
电子 邮箱 所 能 承受 的 负荷 。 这 样 , 用 户 的 邮箱 不 仅 不 能 再 接收 其 他 人 寄 来 的 电子 邮件 ,还 会 
由 于 “超载 "而 导致 用 户 端 的 电子 邮件 系统 功能 瘫痪 。 

有 些 用 户 可 能 会 想到 利用 电子 邮件 的 回复 和 转发 功能 还 击 , 将 整个 炸弹 “回复 ”给 发 送 
者 。 但 如 果 对 方 将 邮件 的 "from” 和 “to” 都 改 为 用 户 的 电子 邮件 地 址 ,这 就 可 想 而 知 这 种 “ 回 
复 ” 的 后 果 , 所 还 击 的 “炸弹 ?都 会 反弹 ?回来 炸 着 了 自己 。 如 果 邮 件 服务 器 接收 到 大 量 的 重 
复 信 息 和 “反弹 ”信息 ,邮件 总 容量 迅速 膨胀 ,邮件 服务 器 忙于 处 理 超大 容量 的 信息 ,有 可 能 
导致 邮件 服务 器 脱 网 ,系统 可 能 崩溃 。 即 使 是 邮件 系统 还 能 工作 ,但 也 会 变 得 非常 迟钝 , 电 
子 邮 件 处 理 的 速度 会 慢 得 令 人 难以 忍受 。 

用 户 无 法 知道 自己 何 时 会 遭遇 电子 邮件 炸弹 的 袭击 ,因此 ,平时 采取 相应 的 防范 措施 是 
很 必要 的 。 较 有 效 的 防范 电子 邮件 炸弹 的 策略 是 采取 防火 墙 或 过 滤 路 由 器 系统 ,这 些 系统 
可 阻止 恶意 信息 的 传播 。 

平时 可 采取 以 下 方法 防范 电子 邮件 炸弹 : 

使 用 Outlook 或 Foxmail 等 系统 的 POP3 收 信和 工具 接收 邮件 。 

当 你 的 邮箱 被 不 停 地 攻击 时 , 先 打 开 一 封 邮件 查看 对 方 地 址 ,然后 在 收 件 工具 的 过 
滤器 中 选择 不 再 接收 来 自 该 地 址 的 信件 ,而 是 将 其 直接 从 电子 邮件 服务 器 上 删除 。 
接收 邮件 时 ,一 旦 发 现 邮件 列表 的 数量 大 大 超过 平时 邮件 的 数量 时 ,应 立即 停止 下 
载 邮件 ,然后 删除 这 些 邮件 炸弹 。 

对 邮件 地 址 进行 配置 ,自动 删除 来 自 同 一 主机 的 过 量 或 重复 的 消息 。 


833 电子 邮件 病毒 


电子 邮件 病毒 实际 上 与 普通 病毒 一 样 ,只 不 过 是 因为 传播 途径 主要 是 通过 电子 邮件 。 
邮件 病毒 通常 是 被 附加 在 邮件 的 附件 中 , 当 用 户 打开 邮件 附件 时 , 它 就 侵入 了 用 户 计 算 机 。 
如 今 ,电子 邮件 已 被 广泛 应 用 , 它 也 正成 为 病毒 传播 的 主要 途径 之 一 。 由 于 恶意 者 可 同时 向 
多 个 用 户 或 整个 计算 机 系统 群发 电子 邮件 ,一 旦 一 个 站 点 被 感染 病毒 ,病毒 邮件 就 会 在 短 时 
间 内 大 规模 地 复制 和 传播 ,因此 整个 系统 就 会 迅速 被 感染 ,从 而 可 能 导致 邮件 服务 器 资源 耗 
尽 , 并 严重 影响 网 络 运行 。 部 分 病毒 甚至 可 能 破坏 用 户 本 地 硬盘 上 的 数据 和 文件 。 

根据 病毒 的 破坏 能 力 ,电子 邮件 病毒 可 分 为 无 害 型 .无 危险 型 .危险 型 和 非常 危险 型 。 

。 无 害 型 病毒 除了 传染 时 占用 磁盘 的 可 用 空间 外 ,对 系统 没有 其 他 影响 。 

。 无 危险 型 病毒 仅仅 占用 内 存 空 间 、 显 示 图 像 、 发 出 声音 等 ,无 其 他 危险 。 

。 危险 型 病毒 在 计算 机 系统 操作 中 可 能 造成 严重 错误 。 

。 非常 危险 型 病毒 可 删除 程序 \ 破 坏 数 据 、 清 除 系统 内 存 区 和 操作 系统 中 重要 的 信息 。 

电子 邮件 病毒 的 传播 速度 快 ,传播 范围 广 , 有 的 破坏 力 强 , 绝 大 多 数 电子 邮件 病毒 都 有 
自我 复制 能 力 。 

电子 邮件 病毒 能 主动 选择 用 户 邮箱 地 址 短 中 的 地 址 发 送 邮件 ,或 者 在 用 户 发 送 邮 件 时 
将 被 病毒 感染 的 文件 附 在 邮件 上 一 起 发 送 。 这 种 成 指数 增长 的 传播 速度 可 以 使 病毒 在 很 短 


第 8 章 Internet 安 全 


的 时 间 内 遍布 整个 网 络 。 当 电子 邮件 病毒 发 作 时 ,往往 会 造成 整个 网 络 瘫痪 ,其 损失 往往 是 
难以 估计 的 。2000 年 爆发 的 “ 爱 虫 "病毒 ,在 第 一 天 就 有 六 万 多 台 计 算 机 被 感染 ,在 短 短 不 
到 一 个 月 时 间 就 造成 超过 67 亿美 元 的 损失 。 

对 电子 邮件 系统 进行 病毒 防护 可 从 以 下 几 个 方面 着 手 : 


1. 思想 上 要 有 防 病毒 意识 


首先 不 要 轻易 打开 陌生 人 来 信 中 的 附件 ,尤其 是 一 些 . exe、. com 类 的 可 执行 文件 ,因为 
这 些 附 件 极 有 可 能 带 有 计算 机 病毒 或 黑客 程序 ,运行 后 会 带 来 不 可 预测 的 后 果 ; 其 次 ,对 于 
比较 熟悉 的 朋友 发 来 的 电子 邮件 ,如 果 带 有 附件 却 未 加 说 明 , 最 好 也 不 要 轻易 打开 ,以 防 由 
于 他 们 的 系统 感染 了 病毒 而 继续 传染 ; 第 三 ,不 要 轻易 打开 附件 中 的 文件 ,可 先 用 “另存 为 ” 
命令 将 其 保存 在 本 地 硬盘 中 ,再 用 查 杀 病毒 软件 进行 检查 ,确认 无 毒 后 方 可 打开 使 用 ; 第 
四 ,切忌 盲目 转发 邮件 ,给 别人 发 送 程序 文件 或 电子 贺卡 时 ,可 先 在 自己 的 计算 机 里 试 试 , 确 
信 没 有 问题 后 再 发 出 去 ,以 免 自己 无 意 中 成 为 病毒 的 传播 者 。 


2. 使 用 优秀 的 防 病毒 软件 进行 保护 


首先 防 病毒 软件 必须 有 能 力 发 现 并 杀 灭 任何 类 型 的 病毒 ,无 论 这 些 病毒 是 隐藏 在 邮件 
文本 中 ,还 是 躲藏 在 附件 内 。 当 然 , 有 能 力 扫描 压缩 文件 也 是 必需 的 。 其 次 , 防 病毒 软件 还 
必须 在 收 到 邮件 的 同时 对 该 邮件 进行 病毒 扫描 ,并 在 每 次 打开 、 保 存 和 发 送 后 再 进行 扫描 。 


3. 使 用 防 病毒 软件 同时 保护 客户 机 和 服务 器 


一 方面 ,只 有 客户 机 的 防 病毒 软件 才能 访问 个 人 目录 ,并 防止 病毒 从 外 部 人 侵 ; 另 一 方 
面 ,只 有 服务 器 的 防 病毒 软件 才能 进行 全 局 检测 和 查 杀 病毒 。 因 此 ,防毒 软件 可 以 同时 保护 
客户 机 和 服务 器 ,这 是 防止 病毒 在 整个 系统 中 扩散 的 唯一 途径 ,也 是 阻止 病毒 人 侵 没有 本 地 
保护 但 连接 到 邮件 系统 的 计算 机 的 唯一 方法 。 


834 电子 邮件 加 密 


Internet 是 一 个 包含 了 成 千 上 万 服务 器 .路 由 器 和 中 继 器 的 大 型 网 络 ,用户 所 发 送 的 电 
子 邮 件 在 到 达 目 的 地 之 前 需要 经 过 若干 个 地 方 ,在 任意 一 个 地 方 , 只 要 懂得 一 些 访问 以 及 网 
络 知识 的 人 都 知道 如 何 来 阅读 电子 邮件 。 从 技术 上 看 ,没有 任何 方法 能 够 阻止 攻击 者 截取 
电子 邮件 数据 包 , 用 户 无 法 确定 自己 的 邮件 将 会 经 过 哪些 路 由 器 ,也 不 能 确定 经 过 这 些 路 由 
器 时 会 发 生 什 么 。 保 证 电子 邮件 安全 的 方法 就 是 对 邮件 进行 加 密 和 数字 签名 处 理 , 使 攻击 
者 即使 得 到 邮件 数据 包 后 也 无 法 阅读 它 。 作 为 Internet 标准 而 提出 的 增强 型 加 密 软 件 
PEM 和 PGP 软件 是 实现 文件 和 邮件 加 密 的 两 个 具有 代表 性 的 加 密 软件 。 

邮件 加 密 可 以 保护 用 户 的 秘密 ,确保 邮件 不 能 被 无 关 人 员 阅 读 ,除非 有 人 知道 用 户 的 密 
码 以 及 解密 的 口令 。 

如 果 用 户 的 E-mail 软件 中 设置 了 加 密 的 功能 ,就 可 以 通过 点 击 某 个 按钮 的 操作 来 加 密 
用 户 的 邮件 。 那 么 就 只 有 合法 收 件 人 能 够 阅读 信件 ,他 必须 要 有 一 个 相 匹配 的 密 钥 和 正确 
的 口令 。 对 于 其 他 人 来 说 这 封 信 可 能 是 空 的 ,也 可 能 是 乱码 。 可 以 使 用 PGP 软件 来 产生 自 
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己 的 密 钥 对 ,或 者 通过 数字 认证 的 方式 产生 密 钥 。 

只 实现 数字 签名 的 邮件 在 传输 中 仍 是 明文 ,明文 邮件 有 可 能 在 传输 过 程 中 被 截获 而 泄 
露 , 因 此 还 必须 对 其 进行 加 密 , 使 其 在 传输 中 是 密 文 。 这 样 , 即 使 邮件 在 中 途 被 截获 , 截 收 者 
得 到 的 也 是 密 文 , 从 而 保证 了 邮件 内 容 的 安全 性 。 因 此 ,一 般 情 况 下 ,安全 电子 邮件 的 发 送 
必须 经 过 邮件 签名 和 邮件 加 密 两 个 过 程 ,而 在 接收 端 ,要 经 过 相应 的 邮件 解密 和 邮件 验证 两 
个 过 程 方 可 接收 到 安全 的 电子 邮件 。 

为 电子 邮件 加 密 主 要 提供 邮件 的 保密 性 服务 ,为 电子 邮件 签名 主要 提供 邮件 的 完整 性 
和 不 可 抵赖 性 服务 。 一 般 , 随 机 地 生成 一 个 会 话 密 钥 ,采用 对 称 密码 算法 加 密 邮 件 体 ,利用 
消息 摘要 、 公 钥 算 法 实现 邮件 的 签名 与 验证 。 

对 于 邮件 加 密 , 需 要 考虑 采用 什么 样 的 加 密 方法 。 对 称 密码 算法 加 密 简便 高 效 ,也 较 安 
全 ,但 其 密 钥 管 理 十 分 困难 ; 公 钥 密码 算法 加 密 密 钥 管 理 方便 ,也 便于 数字 签名 ,但 加 密 解 
密 速 度 慢 ,效率 低 。 所 以 在 实际 使 用 中 将 两 者 结合 起 来 使 用 ,充分 发 挥 各 自 的 优势 。 

使 用 数字 信封 技术 实现 会 话 密 钥 的 传送 ,从 而 有 机 地 将 这 两 种 加 密 技 术 结合 起 来 ,使 邮 
件 加 密 完全 高 效 ,同时 又 具有 良好 的 密 钥 管理 和 签名 功能 。 接 收 端 在 收 到 电子 邮件 后 ,首先 
将 邮件 按照 相应 协议 拆 分 为 经 相应 公 钥 算法 加 密 的 会 话 密 钥 和 经 相应 对 称 算法 加 密 的 签名 
邮件 两 部 分 ; 然后 用 收 件 人 的 私 钥 解密 会 话 密 钥 ; 最 后 用 会 话 密 钥 解 密 邮 件 , 得 到 签名 的 
明文 邮件 。 

当 邮 件 接 收 者 得 到 签名 邮件 后 , 先 按 照相 关 协 议 将 其 分 为 数字 签名 和 原始 邮件 两 部 分 ; 
然后 用 发 送 者 的 公开 密 钥 解密 数字 签名 得 到 数字 摘要 ; 再 利用 相应 的 摘要 算法 对 得 到 的 原 
始 邮 件 重 新 计算 其 数字 摘要 ,并 将 两 个 摘要 进行 比较 。 如 果 相 等 , 则 该 邮件 通过 完整 性 验 
证 ,邮件 来 源 于 发 送 者 ; 否则 ,邮件 验证 失效 ,该 邮件 不 可 信 。 


84 Intemet 欺骗 及 防范 


所 谓 欺 骗 就 是 指 攻 击 者 通过 伪造 一 些 容易 引起 错觉 的 信息 来 诱导 受骗 者 做 出 错误 的 、 
与 安全 有 关 的 决策 。 电 子 欺骗 是 通过 伪造 源 于 一 个 可 信任 地 址 的 数据 包 以 使 一 台 机 器 认证 
另 一 台 机 器 的 网 络 攻击 手段 。Internet 欺骗 有 ARP 电子 欺骗 .DNS 电子 欺骗 、IP 电子 欺骗 
和 Web 电子 欺骗 几 种 类 型 。 


841 ARP 电子 欺骗 


ARP 协议 是 一 种 将 卫 地 址 转换 成 MAC 地 址 的 协议 。 它 靠 维持 在 内 存 中 保存 的 一 张 
表 来 使 IP 得 以 在 网 络 上 被 目标 机 器 应 答 。 通 常 主机 在 发 送 一 个 IP 包 之 前 , 它 要 到 该 转换 
表 中 寻找 与 IP 包 对 应 的 MAC 地 址 。 如 果 没 有 找到 ,该 主机 就 发 送 一 个 ARP 广播 包 去 寻 
找 , 该 转换 表 以 外 的 对 应 卫 地 址 的 主机 则 响应 该 广播 :应答 其 MAC 地 址 。 于 是 ,主机 刷新 
自己 的 ARP 缓存 ,然后 发 出 该 耻 包 。 


1. ARP 欺骗 
ARP 电子 欺骗 就 是 一 种 更 改 ARP Cache 的 技术 。Cache 中 含有 IP 与 MAC 地址 的 对 
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应 表 ( 映 射 信息 ) ,如 果 攻 击 者 更 改 了 ARP Cache 中 的 MAC 地 址 ,来 自 目标 的 响应 数据 包 
就 能 将 信息 发 送 到 攻击 者 的 MAC 地 址 ,因为 依据 映射 信息 ,目标 机 已 经 信任 攻击 者 的 机 
器 了 。 

现在 我 们 来 看 一 个 在 网 络 中 如 何 实现 ARP 欺骗 的 例子 。 一 个 入 侵 者 想 非法 进入 某 台 
主机 ,他 知道 这 台 主 机 的 防火 墙 只 对 192. 0. 0. 3 开放 23 号 端口 (Telnet) ,而 他 必须 要 使 用 
Telnet 来 进入 这 台 主 机 ,所 以 他 要 进行 如 下 操作 : 

。 研究 192. 0.0. 3 这 台 主 机 ,发 现 如 果 他 发 送 一 个 洪 泛 (Flood) 包 给 192. 0.0. 3 的 139 
端口 ,该 机 器 就 会 应 包 而 死 。 
主机 发 到 192.0.0.3 的 IP 包 将 无 法 被 机 器 应 答 , 系 统 开 始 更 新 自己 的 ARP 对 应 
表 , 将 192.0.0.3 的 项 目 删 去 。 
入 侵 者 把 自己 的 IP 改 成 192. 0.0.3, 再 发 一 个 ping 命令 给 主机 ,要 求 主机 更 新 ARP 
转换 表 。 

。 主机 找到 该 PP, 然后 在 ARP 表 中 加 入 新 的 全 包 与 MAC 的 对 应 关系 。 

。 这样, 防火墙 就 失效 了 ,入 侵 的 IP 变 成 合法 的 MAC 地 址 ,可 以 进行 Telnet 了 。 

现在 ,假如 该 主机 不 只 提供 Telnet, 它 还 提供 r 命令 (rsh rcopy\rlogin 等 ) ,那么 ,所 有 
的 安全 约定 都 将 无 效 , 入 侵 者 可 以 放心 地 使 用 这 台 主 机 的 资源 而 不 用 担心 被 记录 什么 。 

上 面 就 是 一 个 ARP 欺骗 的 过 程 ,这 是 在 同 网 段 发 生 的 情况 。 利 用 交换 式 集线器 或 网 
桥 是 无 法 阻止 ARP 欺骗 的 ,只 有 路 由 分 段 是 有 效 的 阻止 手段 ,因为 IP 包 必须 经 过 路 由 转 
发 。 在 有 路 由 转发 的 情况 下 ,在 发 送 包 的 IP 主机 的 ARP 对 应 表 中 ,IP 的 对 应 值 是 路 由 的 
MAC 而 非 目 标 主 机 的 MAC。ARP 欺骗 如 配合 ICMP 欺骗 将 对 网 络 造成 极 大 的 危害 ,从 某 
种 角度 讲 , 这 时 入 侵 者 可 以 跨 过 路 由 监听 网 络 中 任何 两 点 的 通信 。 

利用 ARP 欺骗 ,入 侵 者 可 以 进行 以 下 活动 : 

。 利用 基于 IP 的 安全 性 不 足 ,冒充 一 个 合法 IP 来 进入 主机 。 

。 躲 过 基于 IP 的 许多 程序 的 安全 检查 ,如 NSF、r 系列 命令 等 。 


2. ARP 欺骗 的 防范 


可 采用 如 下 措施 防止 ARP 欺骗 : 

。 不 要 把 网 络 的 安全 信任 关系 仅 建 立 在 IP 基础 上 或 MAC 基础 上 ,而 是 应 该 建立 在 
IP 十 MAC 基础 上 (即将 IP 和 MAC 两 个 地 址 绑 定 在 一 起 ) 。 

设置 静态 的 MAC 地 址 到 IP 地 址 对 应 表 , 不 要 让 主机 刷新 设 定好 的 转换 表 。 

除非 很 有 必要 ,否则 停止 使 用 ARP, 将 ARP 作为 永久 条 目 保存 在 对 应 表 中 。 

使 用 ARP 服务 器 ,通过 该 服务 器 查找 自己 的 ARP 转换 表 来 响应 其 他 机 器 的 ARP 
广播 ,确保 这 台 ARP 服务 器 不 被 攻击 。 

使 用 “proxy” 代 理 IP 的 传输 。 

使 用 硬件 屏蔽 主机 ,设置 好 路 由 ,确保 IP 地 址 能 到 达 合 法 的 路 径 。 

管理 员 要 定期 从 响应 的 IP 包 中 获得 一 个 RARP 请 求 ,然后 检查 ARP 响应 的 真 
实 性 。 

管理 员 要 定期 轮 询 ,检查 主机 上 的 ARP 缓存 。 

使 用 防火 墙 连续 监控 网 络 。 
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842 DNS 电子 欺骗 


DNS 是 TCP/IP 协议 体系 中 的 应 用 程序 ,其 主要 功能 是 进行 域名 和 IP 地 址 的 转换 ,这 
种 转换 也 叫 解析 。 当 攻击 者 危害 DNS 服务 器 并 明确 地 更 改 主机 名 与 IP 地 址 映射 表 时 ， 
DNS 欺骗 (DNS spoofing) 就 会 发 生 。 这 些 更 改 被 写 人 DNS 服务 器 上 的 转换 表 , 因 此 当 一 
个 客户 机 请 求 查询 时 ,用 户 只 能 得 到 这 个 更 改 后 的 地 址 。 该 地 址 是 一 个 完全 处 于 攻击 者 控 
制 下 的 机 器 的 IP 地 址 。 因 为 网 络 上 的 主机 都 信任 DNS 服务 器 ,所 以 一 个 被 破坏 的 DNS 服 
务 器 可 以 将 客户 引导 到 非法 服务 器 上 ,也 可 欺骗 服务 器 相信 一 个 IP 地 址 确实 属于 一 个 被 信 
任 的 客户 。 


1. DNS 的 安全 威胁 


DNS 存在 如 下 安全 威胁 : 

DNS 存在 简单 的 远程 缓冲 区 溢出 攻击 。 

DNS 存在 拒绝 服务 攻击 。 

设置 不 当 的 DNS 会 泄露 过 多 的 网 络 拓扑 结构 。 如 果 DNS 服务 器 允许 对 任何 机 构 
都 进行 区 域 传输 ,那么 整个 网 络 中 的 主机 名 、IP 列表 、 路 由 器 名 、 路 由 IP 列表 ,甚至 
计算 机 所 在 位 置 等 都 可 能 被 轻易 窃取 。 

利用 被 控制 的 DNS 服务 器 入 侵 整 个 网 络 , 破 坏 整 个 网 络 的 安全 。 当 一 个 人 侵 者 控 
制 了 DNS 服务 器 后 ,他 就 可 以 随意 算 改 DNS 的 记录 信息 ,甚至 使 用 这 些 被 自 改 的 
记录 信息 来 达到 进一步 人 侵 整 个 网 络 的 目的 。 

利用 被 控制 的 DNS 服务 器 绕 过 防火 墙 等 其 他 安全 设备 的 控制 。 现 在 一 般 的 网 站 都 
设置 防火 墙 ,但 由 于 DNS 的 特殊 性 ,在 UNIX 机 器 上 ,DNS 需要 的 端口 是 UDP 53 
和 TCP 53 ,它们 都 需要 使 用 root 执行 权限 。 因 此 ,防火 墙 就 很 难 控制 对 这 些 端 口 的 
访问 ,入 侵 者 可 以 利用 DNS 的 诸多 漏洞 获取 DNS 服务 器 的 管理 员 权 限 。 

如 果 内 部 网 络 设置 不 合理 ,例如 DNS 服务 器 的 管理 员 密 码 和 内 部 主机 管理 员 密 码 
一 致 ,DNS 服务 器 和 内 部 其 他 主机 就 处 于 同一 网 段 ,DNS 服务 器 就 处 于 防火 墙 的 可 
信任 区 域内 ,这 就 等 于 给 入 侵 者 提供 了 一 个 打开 系统 大 门 的 捷径 。 


2. DNS 欺骗 原理 


在 域名 解析 的 整个 过 程 中 ,客户 端 首先 以 特定 的 标识 向 DNS 服务 器 发 送 域名 查询 数据 
报 , 在 DNS 服务 器 查询 之 后 以 相同 的 ID 号 给 客户 端 发 送 域名 响应 数据 报 。 这 时 ,客户 端 会 
将 收 到 的 DNS 响应 数据 报 的 ID 和 自己 发 送 的 查询 数据 报 的 ID 相 比较 , 如 匹配 则 表明 接收 
到 的 正 是 自己 等 待 的 数据 报 ,如 果 不 匹配 , 则 丢弃 之 。 

假如 入 侵 者 伪装 成 DNS 服务 器 提前 向 客户 端 发 送 响 应 数据 报 , 那 么 客户 端的 DNS 组 
存 里 的 域名 所 对 应 的 IP 就 是 它们 自己 定义 的 IP, 同 时 客户 端 也 就 被 带 入 入 侵 者 希望 的 地 
方 。 入 侵 者 的 欺骗 条 件 只 有 一 个 , 那 就 是 发 送 的 与 ID 匹配 的 DNS 响应 数据 报 在 DNS 服务 
器 发 送 响应 数据 报 之 前 到 达 客 户 端 。 这 就 是 著名 的 DNS ID 欺骗 。 

DNS 欺骗 有 以 下 两 种 情况 : 
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本 地 主机 与 DNS 服务 器 ,本 地 主机 与 客户 端 主机 均 不 在 同一 个 局 域 网 内 。 这 时 , 黑 
客人 侵 的 可 能 方法 有 两 种 : 一 是 向 客户 端 主机 随机 发 送 大 量 的 DNS 响应 数据 报 ; 
二 是 向 DNS 服务 器 发 起 拒绝 服务 攻击 和 BIND 漏洞 。 

本 地 主机 至 少 与 DNS 服务 器 或 客户 端 主机 中 的 某 一 台 处 于 同一 个 局 域 网 内 ,可 以 
通过 ARP 欺骗 来 实现 可 靠 而 稳定 的 DNS ID 欺骗 。 


3. DNS 欺骗 的 防范 


直接 使 用 IP 地 址 访问 重要 的 服务 ,可 以 避 开 DNS 对 域名 的 解析 过 程 , 因 此 也 就 避 
开 了 DNS 欺骗 攻击 。 但 最 根本 的 解决 办 法 还 是 加 密 所 有 对 外 的 数据 流 ,服务 器 应 
使 用 SSH(Secure Shell) 等 具有 加 密 功 能 的 协议 ,一般 用 户 则 可 使 用 PGP 类 软件 加 
密 所 有 发 送 到 网 络 上 的 数据 。 
如 果 遇 到 DNS 欺骗 , 先 断 开本 地 连接 ,然后 再 启动 本 地 连接 ,这 样 就 可 以 清除 DNS 
缓存 。 
用 转化 得 到 的 IP 地 址 或 域名 再 次 作 反 向 转换 验证 。 

有 一 些 例外 情况 不 存在 DNS 欺骗 : 如 果 IE 中 使 用 代理 服务 器 ,那么 DNS 欺骗 就 不 能 
进行 ,因为 此 时 客户 端 并 不 会 在 本 地 进行 域名 请 求 ; 如 果 访 问 的 不 是 本 地 网 站 主页 ,而 是 相 
关子 目录 文件 ,这 样 在 自 定义 的 网 站 上 不 会 找到 相关 的 文件 ,DNS 欺骗 也 会 以 失败 告终 。 


843 Pp 电子 欺骗 


IP 电子 欺骗 (IP spoof) 攻 击 是 指 利用 TCP/IP 本 身 的 缺陷 进行 的 入 侵 , 即 用 一 台 主 机 
设备 冒充 另外 一 台 主 机 的 IP 地 址 ,与 其 他 设备 通信 ,从 而 达到 某 种 目的 的 过 程 。 它 不 是 进 
攻 的 结果 ,而 是 进攻 的 手段 ,实际 上 是 对 两 台 主 机 之 间 信 任 关系 的 破坏 。 

IP 电子 欺骗 是 攻击 者 攻克 Internet 防火 墙 系统 最 常用 的 方法 ,也 是 许多 其 他 攻击 方法 
的 基础 。IP 电子 欺骗 就 是 通过 伪造 某 台 主机 的 IP 地 址 ,使 得 某 台 主 机 能 够 伪装 成 另外 一 
台 主 机 ,而 这 台 主 机 往往 具有 某 种 特权 或 被 男 外 的 主机 所 信任 。 对 于 来 自 网 络 外 部 的 IP 电 
子 欺 骗 ,只 要 配置 一 下 防火 墙 就 可 以 了 ,但 对 同一 网 络 内 的 机 器 实施 攻击 则 不 易 防范 。 

IP 电子 欺骗 是 一 种 攻击 方法 ,即使 主机 系统 本 身 没 有 任何 漏洞 ,但 入 侵 者 仍然 可 以 使 
用 各 种 手段 来 达到 攻击 目的 。 这 种 欺骗 纯 属 技术 性 的 ,一 般 都 是 利用 TCP/IP 协议 本 身 存 
在 的 一 些 缺 陷 。 当 然 ,进行 这 样 的 欺骗 也 是 有 一 定 难度 的 。 


1. IP 电子 欺骗 原理 


IP 是 网 络 层面 向 无 连接 的 协议 ,IP 数据 包 的 主要 内 容 由 源 IP 地 址 、 目 的 IP 地 址 和 所 
传 数据 构成 。IP 的 任务 就 是 根据 每 个 数据 报 文 的 目的 地 址 和 路 由 ,完成 报 文 从 源 地 址 到 目 
的 地 址 的 传送 。IP 不 会 考虑 报 文 在 传送 过 程 中 是 否 丢失 或 出 现 差错 。IP 数据 包 只 是 根据 
报 文中 的 目的 地 址 发 送 ,因此 借助 于 高 层 协议 的 应 用 程序 来 伪造 IP 地 址 是 比较 容易 实 
现 的 。 

IP 电子 欺骗 是 利用 了 主机 之 间 的 正常 信任 关系 来 实现 的 。 比 如 ,在 UNIX 主机 中 , 存 
在 着 一 种 特殊 的 信任 关系 。 假 设 有 两 台 主 机 A 和 B 上 各 有 一 个 账户 Tomy。 使 用 中 会 发 
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现 ,在 主机 A 上 使 用 时 要 输入 主机 A 上 的 相应 账户 Tomy, 在 主机 B 上 使 用 时 必须 输入 主 
机 B 的 账户 Tomy。 主 机 A 和 主机 B 上 的 两 个 Tomy 账户 是 两 个 互 不 相关 的 用 户 , 这 显然 
有 些 不 便 。 为 了 减少 这 种 不 便 ,可 以 在 主机 A 和 主机 B 中 建立 起 两 个 账户 的 相互 信任 关 
系 。 在 主机 A 和 主机 B 上 Tomy 的 home 目录 中 创建 . rhosts 文件 。 在 主机 A 的 home 目 
录 中 用 相应 命令 实现 主机 A 与 主机 B 的 信任 关系 。 这 时 ,用 户 从 主机 B 上 就 能 方便 地 使 用 
任何 以 r 开头 的 远程 调用 命令 ,如 rlogin、rsh、rcp 等 ,而 无 需 输入 口令 验证 就 可 以 直接 登录 
到 主机 A 上 。 这 些 命令 将 允许 以 IP 地 址 为 基础 的 验证 ,允许 或 者 拒绝 以 IP 地 址 为 基础 的 
存 取 服 务 。 这 样 的 信任 关系 是 基于 IP 地 址 的 。 

假如 某 人 能 够 冒充 主机 B 的 IP 地 址 ,就 可 以 使 用 rlogin 登录 到 主机 A, 而 不 需 任 何 口 
令 验 证 。 这 就 是 IP 电子 欺骗 的 最 根本 的 理论 依据 。 但 是 ,事情 远 没 有 这 么 简单 。 虽 然 可 以 
通过 编程 的 方法 随意 改变 发 出 的 数据 包 的 了 地 址 ,但 TCP 协议 对 IP 进行 了 进一步 的 封 
装 , 它 是 一 种 相对 可 靠 的 协议 ,不 会 让 黑客 轻易 得 逮 。 

TCP 作为 两 台 通 信 设 备 之 间 保 证 数据 顺序 传输 的 协议 ,是 面向 连接 的 , 它 需 要 在 连接 
双方 都 同意 的 情况 下 才能 进行 通信 。 任 意 两 台 设备 之 间 和 欲 建立 TCP 连接 都 需要 一 个 双方 
确认 的 起 始 过 程 , 即 “ 三 次 握手 ”。 

由 此 我 们 可 以 想到 ,假如 想 冒充 主机 B 对 主机 A 进行 攻击 ,就 要 先 使 用 主机 B 的 IP 地 
址 发 送 SYN 标志 给 主机 A, 但 是 当主 机 A 收 到 后 ,并 不 会 把 SYN/ACK 发 送 到 冒充 者 的 主 
机 上 ,而 是 发 送 到 真正 的 主机 B 上 。 这 时 ,因为 主机 B 根本 没 发 送 SYN 请 求 ,冒充 者 的 企 
图 将 会 立即 被 揭穿 。 因 此 ,要 冒充 主机 B, 首 先 要 让 主机 B 失去 工作 能 力 。 比 如 利用 DoS 
攻击 ,让 主机 B 瘫痪 。 

2. IP 电子 欺骗 过 程 解析 


IP 电子 欺骗 由 若干 步骤 组 成 。 首 先 假定 信任 关系 已 经 被 发 现 。 黑 客 为 了 进行 IP 电子 
欺骗 ,首先 要 使 被 信任 关系 的 主机 失去 工作 能 力 , 同 时 利用 目标 主机 发 出 的 TCP 序列 号 , 猜 
测 出 它 的 数据 序列 号 ; 然后 伪装 成 被 信任 的 主机 ,同时 建立 起 与 目标 主机 基于 地 址 验证 的 
应 用 连接 。 连 接 成 功 后 ,黑客 就 可 以 设置 后 门 以 便 日 后 使 用 。 

为 了 伪装 成 被 信任 主机 而 不 露 狗 ,需要 使 其 完全 失去 工作 能 力 。 由 于 攻击 者 将 要 代替 
真正 的 被 信任 主机 ,他 必须 确保 真正 的 被 信任 主机 不 能 收 到 任何 有 效 的 网 络 数据 ,否则 将 会 
被 揭穿 。 有 许多 方法 可 以 达到 这 个 目的 (如 SYN 洪 泛 攻击 等 )。 

对 目标 主机 进行 攻击 ,必须 知道 目标 主机 的 数据 包 序列 号 。 通 常 是 先 与 被 攻击 主机 的 
一 个 端口 (如 25) 建 立 起 正常 连接 。 往 往 这 个 过 程 被 重复 nn 次 ,并 将 目标 主机 最 后 所 发 送 的 
初始 序列 号 (ISN) 存 储 起 来 ; 然后 还 需要 估计 他 的 主机 与 被 信任 主机 之 间 的 往返 时 间 , 这 个 
时 间 是 通过 多 次 统计 平均 计算 出 来 的 。 

一 旦 估计 出 ISN 的 大 小 ,就 开始 着 手 进行 攻击 。 当 然 ,攻击 者 的 虚假 TCP 数据 包 进入 
目标 主机 时 ,如 果 刚 才 估计 的 序列 号 是 准确 的 ,进入 的 数据 将 被 放置 在 目标 主机 的 缓冲 区 
中 。 但 是 在 实际 攻击 过 程 中 往往 不 能 这 么 容易 得 件 , 如 果 估 计 的 序列 号 小 于 正确 值 , 那 么 将 
被 放弃 ; 如 果 估计 的 序列 号 大 于 正确 值 , 并 且 在 缓冲 区 的 大 小 之 内 ,那么 该 数据 被 认为 是 一 
个 未 来 的 数据 ,TCP 模块 将 等 待 其 他 的 数据 ; 如 果 估 计 的 序列 号 大 于 期 待 的 数字 且 不 在 组 
冲 区 之 内 ,TCP 将 会 放弃 它 并 返回 一 个 期 望 获得 的 数据 序列 号 。 
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入 侵 者 可 伪装 成 被 信任 的 主机 IP, 然 后 向 目标 主机 的 513 端口 发 送 连接 请 求 。 目 标 主 
机 立刻 对 连接 请 求 做 出 反应 ,发 送 更 新 SYN/ACK 确认 包 给 被 信任 主机 。 因 为 此 时 被 信任 
主机 仍然 处 于 瘫痪 状态 , 它 当 然 无 法 收 到 这 个 包 。 紧 接着 攻击 者 向 目标 主机 发 送 ACK 数 
据 包 ,该 包 使 用 前 面 估计 的 序列 号 加 1。 如 果 攻 击 者 估计 正确 ,目标 主机 将 会 接收 该 ACK 。 
连接 就 正式 建立 ,可 开始 数据 传输 。 如 果 达 到 这 一 步 , 一 次 完整 的 IP 电子 欺骗 就 算 完成 了 。 
入 侵 者 已 经 在 目标 主机 上 得 到 了 一 个 Shell, 接 下 来 就 是 利用 系统 的 溢出 或 错误 配置 扩大 
权限 。 

IP 电子 欺骗 攻击 的 整个 过 程 可 简要 概括 为 : 

(1) 使 被 信任 主机 的 网 络 暂 时 瘫痪 ,以 免 对 攻击 造成 干扰 。 

(2) 连接 到 目标 主机 的 某 个 端口 来 猜测 ISN 基 值 和 增加 规律 。 

(3) 把 源 地 址 伪装 成 被 信任 主机 ,发 送 带 有 SYN 标志 的 数据 段 请 求 连接 。 

(4) 等 待 目 标 机 发 送 SYN/ACK 包 给 已 经 瘫痪 的 主机 。 

(5) 再 次 伪装 成 被 信任 的 主机 向 目标 机 发 送 ACK, 此 时 发 送 的 数据 段 带 有 预测 的 目标 
机 的 ISN 十 1。 

(6) 连接 建立 ,发 送 命令 请 求 。 


3. IP 电子 欺骗 的 预防 


抛弃 基于 地 址 的 信任 策略 。 阻 止 IP 欺骗 的 简单 方法 是 放弃 以 IP 地 址 为 基础 的 验 
证 。 不 允许 使 用 r 类 远程 调用 命令 ,删除 rhosts 和 /etc/hosts. equiv 文件 ,使 所 有 用 
户 使 用 其 他 远程 通信 手段 。 

进行 包 过 滤 。 如 果 用 户 的 网 络 是 通过 路 由 器 接 入 Internet 的 , 则 可 利用 路 由 器 进行 
包 过 滤 。 应 保证 只 有 用 户 网 络 内 部 的 主机 之 间 可 以 定义 信任 关系 ,而 内 部 主机 与 网 
外 主机 通信 时 要 慎重 处 理 。 另 外 ,使 用 路 由 器 还 可 以 过 滤 掉 所 有 来 自 外 部 的 与 内 前 
主机 建立 连接 的 请 求 , 至 少 要 对 这 些 请 求 进行 监视 和 验证 。 

使 用 加 密 方法 。 在 通信 时 要 求 加 密 传输 和 验证 ,也 是 一 种 预防 IP 欺骗 的 可 行 性 方 
法 。 在 有 多 种 手段 并 存 时 ,这 种 方法 是 最 为 合适 的 。 

使 用 随机 的 初始 序列 号 。 随 机 地 选取 初始 序列 号 可 防止 IP 欺骗 攻击 。 每 一 个 连接 
都 建立 独立 的 序列 号 空间 ,这 些 序列 号 仍 按 以 前 的 方式 增加 ,但 应 使 这 些 序列 号 空 
间 中 没有 明显 的 规律 ,从 而 不 容易 被 人 侵 者 利用 。 


844 Web 电子 欺骗 


1. Web 欺骗 攻击 


Web 欺骗 就 是 一 种 网 络 欺骗 ,攻击 者 构建 的 虚拟 网 站 就 像 真 实 的 站 点 一 样 , 有 同样 的 
连接 和 页 面 。 攻 击 者 切断 从 被 攻击 者 主机 到 目标 服务 器 之 间 的 正常 连接 ,建立 一 条 从 被 攻 
击 者 主机 到 攻击 者 主机 ,再 到 目标 服务 器 的 连接 。 实 际 上 ,被 欺骗 的 所 有 浏览 器 用 户 与 这 些 
伪装 页 面 的 交互 过 程 都 受到 攻击 者 的 控制 。 虽然 这 种 攻击 不 会 直接 造成 计算 机 的 软 \ 硬 件 
损坏 ,但 它 所 带 来 的 损失 也 是 不 可 忽视 的 。 通 过 攻击 者 计算 机 ,被 攻击 者 的 一 切 信息 都 会 一 
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览 无 余 。 攻 击 者 可 以 轻而易举 地 得 到 合法 用 户 输入 的 用 户 名 、 密 码 等 敏感 资料 , 且 不 会 出 现 
用 户主 机 死机 、 重 启 等 现象 ,用 户 不 易 觉察 。 这 也 是 Web 欺骗 最 危险 的 地 方 。 

用 户 如 果 仔 细 观 察 , 也 会 发 现 一 些 迹 象 。 比 如 在 浏览 某 个 网 站 时 ,如 果 速 度 明显 地 慢 并 
出 现 一 些 其 他 异常 现象 ,就 要 留心 这 是 否 潜藏 着 危险 。 可 以 将 鼠标 移 到 网 页 中 的 一 条 超级 
链接 上 ,看 看 状态 行 中 的 地 址 是 否 与 要 访问 的 一 致 ,或 者 直接 查看 地 址 栏 中 的 地 址 是 否 正 
确 ; 还 可 以 查看 网 页 的 源 代码 ,如 果 发 现代 码 的 地 址 被 改动 了 , 即 可 初步 判定 是 受到 了 
攻击 。 

攻击 者 利用 Web 功能 进行 欺骗 攻击 ,很 容易 侵害 WWW 用 户 的 隐私 和 数据 完整 性 。 
这 种 入 侵 可 在 现 有 的 系统 上 实现 ,危害 Web 浏览 器 用 户 , 包 括 Netscape 用 户 和 IE 用 户 。 

Web 欺骗 允许 攻击 者 创建 整个 WWW 的 拷贝 。 映 像 Web 的 入 口 在 攻击 者 的 Web 服 
务 器 ,经 过 攻击 者 主机 的 过 滤 后 ,攻击 者 可 以 监控 合法 用 户 的 任何 活动 ,短视 用 户 的 所 有 信 
息 。 攻 击 者 也 能 以 合法 用 户 的 身份 将 错误 的 数据 发 送 到 真正 的 Web 服务 器 ,还 能 以 Web 
服务 器 的 身份 发 送 数 据 给 被 攻击 者 。 总 之 ,如 果 攻 击 成 功 ,攻击 者 就 能 观察 和 控制 着 合法 用 
户 在 Web 上 做 的 每 一 件 事 。 

欺骗 攻击 有 时 看 起 来 就 像 是 一 场 虚 拟 游戏 。 如 果 该 虚拟 世界 是 真实 的 ,那么 用 户 所 做 
的 一 切 都 是 无 可 厚 非 的 。 但 攻击 者 往往 都 有 险恶 的 用 意 ,这 个 允 真 的 环境 可 能 会 给 用 户 带 
来 灾难 性 的 损失 。 

Web 站 点 提供 给 用 户 的 是 丰富 多 彩 的 各 类 信息 ,人 们 通过 浏览 器 随意 翻阅 网 页 。Web 
网 页 上 的 文字 、 图 像 和 声音 可 以 给 人 们 留 下 深刻 的 印象 ,也 正 是 在 这 种 背景 下 ,人 们 往往 能 
够 判断 出 该 网 页 的 地 址 。 


2. Web 欺骗 原理 


Web 欺骗 是 一 种 电子 信息 欺骗 ,攻击 者 创建 了 一 个 完全 错误 的 但 却 似 令 人 信服 的 Web 
拷贝 ,这 个 错误 的 Web 看 起 来 十 分 逼真 , 它 拥有 大 家 熟悉 的 网 页 和 链接 。 然 而 攻击 者 控制 
着 虚假 的 Web 站 点 ,造成 被 攻击 者 浏览 器 和 Web 之 间 的 所 有 网 络 信息 都 被 攻击 者 所 截获 。 

攻击 者 可 以 观察 或 修改 任何 从 被 攻击 者 到 Web 服务 器 的 信息 ,也 能 控制 从 Web 服务 
器 返回 用 户主 机 的 数据 ,这 样 ,攻击 者 就 能 自由 地 选择 发 起 攻击 的 方式 。 

由 于 攻击 者 可 监视 合法 用 户 的 网 络 信息 ,记录 他 们 访问 的 网 页 和 内 容 , 所 以 当 用 户 
填写 完 一 个 表单 并 提交 后 ,这 些 应 被 传送 到 服务 器 的 数据 , 先 被 攻击 者 得 到 并 被 处 理 。 
Web 服务 器 返回 给 用 户 的 信息 ,也 先 由 攻击 者 经 手 。 绝 大 部 分 在 线 企业 都 使 用 表单 来 处 
理 业务 ,这 意味 着 攻击 者 可 轻易 地 获得 用 户 的 账号 和 密码 。 在 得 到 必要 的 数据 后 ,攻击 
者 可 通过 修改 被 攻击 者 和 Web 服务 器 间 传输 的 数据 ,来 进行 破坏 活动 。 攻 击 者 可 修改 用 
户 的 确认 数据 ,例如 用 户 在 线 订购 某 个 产品 时 ,攻击 者 可 以 修改 产品 代码 、 数 量 及 邮购 地 
址 等 。 攻 击 者 也 能 修改 Web 服务 器 返回 的 数据 ,插入 易于 错误 的 资料 ,破坏 用 户 与 在 线 
企业 的 关系 等 。 

攻击 者 进行 Web 欺骗 时 ,不 必 存 取 整 个 Web 上 的 内 容 , 只 需要 伪造 出 一 条 通 向 整个 
Web 的 链 路 。 在 攻击 者 伪造 提供 某 个 Web 站 点 时 ,只 需要 在 自己 的 服务 器 上 建立 一 个 该 
站 点 的 拷贝 ,来 等 待 受 害 者 自 投 罗 网 。 

Web 欺骗 成 功 的 关键 在 于 用 户 与 其 他 Web 服务 器 之 间 建 立 Web 欺骗 服务 器 。 攻 击 者 
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在 进行 Web 欺骗 时 ,一 般 会 采取 如 下 方法 : 

*。 改写 URL。 

。 表单 陷阱 。 

。 不 安全 的 “安全 链接 ”。 

攻击 者 的 这 些 Web 欺骗 之 所 以 成 功 ,是 因为 攻击 者 在 某 些 Web 网 页 上 改写 所 有 与 目 
标 Web 站 点 有 关 的 链接 ,使 得 不 能 指向 真正 的 Web 服务 器 ,而 是 指向 攻击 者 设置 的 伪 服 务 
器 。 攻 击 者 的 伪 服务 器 设置 于 受骗 用 户 与 目标 Web 服务 的 必 经 之 路 上 。 当 用 户 点 击 这 些 
链接 时 ,首先 指向 了 伪 服 务 器 。 攻 击 者 向 真正 的 服务 器 索取 用 户 所 需 界面 , 当 获 得 Web 送 
来 的 页 面 后 , 伪 服 务 器 改写 连接 并 加 入 伪装 代码 , 送 给 被 欺骗 的 浏览 器 用 户 。 


3. Web 欺骗 的 预防 


Web 欺骗 攻击 是 Internet 上 相当 危险 且 不 易 被 觉察 的 欺骗 手法 ,其 危害 性 很 大 ,受骗 
用 户 可 能 会 不 知 不 觉 地 泄露 机 密 信息 ,还 可 能 受到 经 济 损失 。 采 用 如 下 措施 可 防范 Web 
欺骗 : 

。 在 欺骗 页 面 上 ,用 户 可 通过 使 用 收藏 夹 功 能 ,或 使 用 浏览 器 中 的 “Open Location" 变 
换 到 其 他 Web 页 面 下 ,就 能 远离 攻击 者 设 下 的 陷阱 。 
禁止 浏览 器 中 的 JavaScript 功能 ,使 攻击 者 试图 改写 页 面 上 的 信息 时 难度 加 大 ; 同 
时 确保 浏览 器 的 连接 状态 栏 是 可 见 的 ,并 时 刻 观察 状态 栏 显示 的 位 置信 息 有 无 
异常 。 
改变 浏览 器 设置 ,使 之 具有 反映 真实 URL 信息 的 功能 。 
通过 真正 安全 的 链接 建立 从 Web 到 浏览 器 的 会 话 进程 ,而 不 只 是 表示 一 种 安全 链 
接 状态 。 


85 电子 邮件 安全 设置 


电子 邮件 已 成 为 人 们 上 日常 生活 和 工作 中 不 可 缺少 的 工具 和 手段 。 随 着 Internet 的 发 展 
和 电子 邮件 的 广泛 应 用 ,垃圾 邮件 、 邮 件 炸弹 、 邮 件 病毒 等 影响 邮件 安全 的 事件 屡屡 发 生 , 因 
此 电子 邮件 的 安全 问题 也 突显 出 来 ,受到 人 们 的 广泛 关注 。 

电子 邮件 的 安全 问题 主要 包括 两 个 方面 : 一 方面 是 电子 邮件 服务 器 的 安全 ,包括 网 络 
安全 和 如 何 从 服务 器 端 防范 垃圾 邮件 、 病 毒 邮件 和 钓鱼 邮件 等 ,这 是 电子 邮件 服务 的 基本 要 
求 ; 另 一 方面 是 如 何 确保 用 户 的 电子 邮件 内 容 不 被 窃取 、 自 改 和 防止 非法 用 户 登录 合法 用 
户 的 电子 邮件 账号 。 对 用 户 来 说 后 者 更 为 重要 。 


1. 电子 邮件 安全 的 策略 和 管理 措施 
用 户 为 保证 邮件 本 身 的 安全 及 电子 邮件 的 系统 安全 性 可 采用 如 下 安全 策略 和 管理 


措施 : 
(1) 使 用 安全 的 邮件 客户 端 
客户 端 系统 是 用 户 用 来 编写 .发送 和 接收 电子 邮件 的 软件 。 保 障 电子 邮件 系统 安全 的 
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基本 要 求 就 是 采用 一 个 安全 的 邮件 客户 端 系统 。 有 些 邮 件 客 户 端的 漏洞 较 多 ,而 厂商 的 补 
丁 又 很 滞后 ,这 就 为 黑客 攻击 提供 了 方便 。 

(2) 给 电子 邮件 加 密 

从 邮件 本 身 安全 的 角度 看 , 既 要 保证 邮件 不 被 无 关 的 人 窃取 或 更 改 , 又 要 使 接收 者 能 确 
定 该 邮件 是 由 合法 发 送 者 发 出 的 。 可 以 使 用 公用 密 钥 系统 来 达到 这 个 目的 。 相 关 加 密 的 内 
容 已 在 第 5 章 做 了 介绍 。 在 实际 使 用 中 ,用 户 自己 持 有 一 把 密 钥 ( 私 钥 ) ,将 另 一 把 密 钥 ( 公 
钥 ) 公 开 。 当 用 户 向 外 发 送 邮件 时 ,首先 使 用 一 种 单 向 摘要 函数 从 邮件 中 得 到 固定 长 度 的 信 
息 摘要 值 ,该 值 与 邮件 的 内 容 相关 ,也 称 为 邮件 指纹 。 然 后 使 用 自己 的 密 钥 对 指纹 进行 加 
密 。 接 收 者 可 以 使 用 用 户 的 公 钥 进行 解密 ,重新 生成 指纹 ,将 该 指纹 与 发 送 者 发 送 的 指纹 进 
行 比较 , 即 可 确定 该 邮件 是 由 合法 用 户 发 送 而 非 假 冒 ,同时 也 保证 邮件 在 发 送 过 程 中 没有 被 
更 改 , 这 就 是 数字 签名 。 发 送 者 也 可 以 使 用 接收 者 的 公 钥 进行 加 密 , 这 可 保证 只 有 拥有 对 应 
密 钥 的 真实 接收 者 才能 进行 解密 ,得 到 电子 邮件 的 明文 信息 。 

(3) 把 垃圾 邮件 放 到 垃圾 邮件 活页 夹 里 

如 果 邮 件 很 多 , 则 需要 分 类 和 管理 所 收 到 的 邮件 ,清除 垃圾 邮件 是 必要 的 。 大 多 数 邮 件 
阅读 器 都 提供 垃圾 邮件 过 滤器 或 一 些 规 则 ,使 用 户 能 清除 那些 看 起 来 像 垃圾 的 邮件 。 由 于 
邮件 过 滤器 并 不 完美 ,因此 不 要 使 用 自动 清除 功能 ,而 应 把 它们 移 到 垃圾 邮件 活页 夹 里 不 
用 。 偶 尔 可 检查 一 下 这 些 活 页 夹 ,防止 丢掉 被 错 当成 垃圾 的 重要 邮件 。 

(4) 不 随意 公开 或 有 意 隐 藏 自己 的 邮件 地 址 

有 许多 用 户 可 能 不 明白 ,那些 垃圾 邮件 制造 者 不 知道 自己 的 电子 邮件 地 址 ,怎么 能 发 邮 
件 给 自己 呢 ? 其 实 并 非 这 些 垃圾 邮件 制造 者 多 么 神通 广大 ,而 是 用 户 自己 在 不 经 意 间 把 自 
己 的 地 址 留 在 了 Internet 上 。 那 些 垃 圾 邮件 制造 者 使 用 一 种 叫 “bot” 的 专用 应 用 程序 可 搜 
索 Internet 上 的 E-mail 地 址 。 他 们 的 搜索 目标 可 能 是 各 个 网 址 、 聊 天 室 、 网 上 讨论 区 、 新 闻 
组 ,公共 讨论 区 以 及 其 他 任何 能 够 充实 他 们 的 邮件 地 址 数据 库 的 地 方 。 所 以 用 户 避 免 收 到 
过 多 垃圾 邮件 的 方法 之 一 就 是 不 随意 公开 自己 的 邮件 地 址 。 

在 实际 使 用 中 ,有 时 还 不 可 避免 地 要 在 一 些 公共 场合 中 留 下 自己 的 邮件 地 址 。 为 防止 非 
法 用 户 利用 这 个 机 会 来 窃取 地 址 信息 ,可 以 对 自己 要 公布 的 邮件 地 址 进行 一 下 "修饰 ”使 对 方 
能 看 懂 自 己 的 地 址 而 计算 机 却 不 能 识别 。 如 用 户 真 实 的 邮件 地 址 是 gongchangzhang@163. com， 
在 电子 邮件 地 址 的 用 户 名 或 主机 名 前 面 加 上 几 个 字符 ,如 abc, 这 样 经 过 修饰 后 的 地 址 形式 
就 是 gongchangzhang@abc. 163. com, 然 后 把 该 地 址 填写 在 邮件 编辑 窗口 的 发 信人 或 回复 
文本 栏 里 。 用 户 可 事先 与 对 方 约定 ,比如 在 正文 中 加 一 个 注释 以 提醒 对 方 在 回复 时 要 修改 
地 址 。 这 样 就 把 真实 的 地 址 隐藏 起 来 了 ,垃圾 邮件 制造 者 自动 搜索 器 搜索 到 的 只 能 是 修饰 
后 的 地 址 而 不 是 原 地 址 。 

(5) 采用 邮件 规则 过 滤 功 能 

在 电子 邮件 中 安装 过 滤器 (如 E-mail notify) 是 一 种 最 有 效 的 防范 垃圾 邮件 的 措施 。 一 
个 优秀 的 垃圾 邮件 过 滤器 能 够 区 分 合法 邮件 和 垃圾 邮件 ,并 可 以 使 用 户 的 收 件 箱 免 受 垃圾 
邮件 之 苦 。 在 接收 任何 电子 邮件 之 前 预先 检查 发 件 人 的 资料 ,如果 觉 得 有 可 疑 之 处 ,可 以 将 
之 删除 ,不 让 它 进 入 你 的 电子 邮件 系统 ,从 而 保证 了 你 的 邮箱 安全 。 但 使 用 这 种 组 件 需 要 一 
定 的 技巧 和 正确 操作 ,和 否则 就 有 可 能 删除 掉 合 法 邮件 ,而 保留 一 些 垃圾 邮件 。 但 现在 的 垃圾 
邮件 过 滤 技 术 已 经 很 可 靠 了 。 
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如 果 你 收 到 一 封 带 有 附件 的 电子 邮件 , 且 附 件 的 扩展 名 为 . exe 一 类 的 文件 ,这 时 千 万 
不 要 随意 点 击 运 行 它 , 因 为 这 个 不 明 真 相 的 程序 ,很 有 可 能 是 一 个 系统 破坏 程序 。 攻 击 者 常 
把 系统 破坏 程序 换 一 个 名 字 用 电子 邮件 发 给 你 ,并 带 有 一 些 欺骗 性 主题 。 

因 邮 件 附 件 中 的 某 些 文件 可 能 附带 恶意 代码 ,因此 在 收 到 带 有 附件 的 陌生 人 的 邮件 时 
用 户 需 要 格外 并 慎 。 在 进行 规则 设置 时 应 也 以 考虑 。 在 防范 邮件 附件 可 能 带 有 恶意 代码 
时 ,用 户 应 采取 如 下 基本 策略 : 

。 除非 自己 确实 需要 某 个 附件 ,否则 不 要 下 载 或 打开 它 。 

。 在 确信 邮件 附件 的 安全 性 之 前 ,不 要 打开 它 。 

。 在 打开 一 个 附件 中 的 可 执行 文件 之 前 需要 保持 高 度 的 警惕 。 

(6) 谨慎 使 用 自动 回信 功能 

所 谓 自动 回信 就 是 指 当 对 方 发 来 一 封 邮件 而 你 没有 及 时 收取 时 ,邮件 系统 会 按照 你 事 
先 的 设 定 自动 给 发 信人 回复 一 封 确认 收 到 该 邮件 的 回信 。 该 功能 本 来 可 给 用 户 带 来 方便 ， 
但 也 有 可 能 形成 邮件 炸弹 。 试 想 , 如 果 对 方 使 用 的 邮件 系统 也 开启 了 自动 回信 功能 ,那么 当 
收 到 你 自动 回复 的 确认 信 时 ,恰巧 他 也 没有 及 时 收取 信件 ,那么 他 的 系统 又 会 自动 给 你 发 送 
一 封 确认 收 到 邮件 的 回信 。 这 时 ,这 种 自动 回复 的 确认 信 便 会 在 双方 的 邮件 系统 中 不 断 重 
复发 送 ,直到 形成 邮件 炸弹 使 双方 的 邮箱 都 爆满 为 止 。 因 此 一 定 要 慎重 使 用 自动 回信 功能 。 

(7) 保护 邮件 列表 中 的 E-mail 地 址 

如 果 用 户 与 许多 人 通过 E-mail 就 某 个 主题 进行 讨论 ,从 而 要 把 E-mail 地 址 列 入 公共 邮 
件 地 址 清单 中 ,这 种 讨论 组 类 似 于 新 闻 组 ,只 不 过 它 是 通过 E-mail 进行 的 。 这 些 公共 讨论 
经 常 加 载 在 网 上 ,这 对 于 垃圾 邮件 制造 者 来 说 是 很 有 吸引 力 的 。 把 E-mail 地 址 列 入 单 向 邮 
件 列表 或 通过 有 良好 信誉 的 地 方 登记 到 邮件 公告 板 上 ,可 避免 使 用 户 的 地 址 列 入 垃圾 邮件 
制造 者 的 名 单 。 好 的 邮件 公告 板 组 织 的 软件 会 有 严格 的 保护 措施 来 防止 外 来 者 获取 注册 者 
地 址 。 


2. 电子 邮件 的 安全 设置 


针对 电子 邮件 的 安全 问题 ,用 户 可 有 目的 地 增加 邮件 规则 和 进行 系统 安全 方面 的 设置 。 
一 般 不 同 的 邮件 服务 商会 提供 不 同 的 Web 管理 方式 ,通过 Web 进入 自己 的 邮箱 (如 
Hotmail 邮箱 、Yahoo 邮箱 等 ), 可 以 在 邮件 系统 的 帮助 下 进行 邮件 的 安全 设置 。 还 有 
Outlook Express 和 Foxmail 等 专用 的 邮件 收发 和 管理 工具 ,这 些 工具 对 电子 邮件 的 安全 有 
更 方便 的 地 方 。 

(1) 浏览 器 的 安全 设置 

浏览 器 种 类 很 多 ,这 里 以 下 浏览 器 为 例 。 进 入 IE 浏览 器 ,选择 “工具 ”>“Internet 属 
性 ”, 进 入 “安全 ”选项 卡 ,在 这 里 可 以 对 四 种 不 同 区 域 (Internet、 本 地 Intranet、 受 信任 的 站 
点 和 受 限制 的 站 点 ) 分 别 进行 安全 设置 ,如 图 8. 2 所 示 。 选 择 “Internet” 区 域 单 击 “ 自 定义 级 
别 ? 按 钮 ,出 现 如 图 8. 3 所 示 窗 口 。 在 此 窗口 用 户 可 按照 自己 的 安全 考虑 选择 相关 组 件 和 设 
定安 全 级 别 。 在 图 8. 2 所 示 的 “隐私 ”选项 卡 中 进行 设置 可 以 适当 保护 用 户 自己 的 隐私 。 如 
果 担 心 信件 内 容 的 泄露 ,可 以 在 图 8. 2 所 示 的 “内 容 ” 选 项 卡 中 进行 证 书 设置 。 
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图 8.2 浏览 器 Internet 选项 


(2) 邮件 规则 的 设置 
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图 8.3 Internet 自 定义 安全 设置 


下 面 以 微软 的 Outlook Express 为 例 介 绍 邮件 规则 的 安全 设置 。 打 开 Outlook 
Express, 依 次 选择 “工具 ”一 “邮件 规则 ”一 “邮件 ”, 弹 出 “新 建 邮件 规则 ”窗口 。 然 后 在 “选择 规 
则 条 件 ” 栏 勾 选 需 要 的 条 件 后 ,再 在 “选择 规则 操作 ” 栏 勾 选 需要 的 操作 ,然后 在 “规则 描述 ”中 
就 自动 出 现 了 新 建 的 邮件 规则 说 明 。 如 在 “选择 规则 条 件 ” 栏 勾 选 “车 邮件 带 有 附件 ”, 在 “选择 
规则 操作 ” 栏 勾 选 “移动 到 指定 的 文件 夹 " 和 “将 邮件 标记 为 被 跟踪 或 忽略 ”两 项 , 则 在 “规则 描 
述 ” 中 就 出 现 “ 若 邮件 带 有 附件 移动 到 指定 的 文件 夹 和 将 邮件 标记 为 被 监测 ,如 图 8. 4 所 示 ; 
如 在 “选择 规则 条 件 ” 栏 勾 选 “ 若 邮 件 长 度 大 于 指定 的 大 小 ”, 在 “选择 规则 操作 ” 栏 勾 选 “ 删 
除 ”, 则 在 “规则 描述 ”中 就 出 现 “ 车 邮件 长 度 大 于 指定 的 大 小 删除 ”, 如 图 8. 5 所 示 。 
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口 殖 党 到 指定 的 用 户 


3， 规 册 撕 述 ( 单 击 带 下 划 | 卉 的 值 可 以 进行 编辑 ) 四 )- 
翌 到 法 后 应 用 本 规则 
i 件 : 件 


4 规则 名 称 加 
新诗 邮 件 规则 杖 


图 8.4 新 规则 设置 (1) 


3. 规则 描述 单 击 带 下 的 值 可 以 进行 编辑 ) 了 ) 


件 到 达 后 应 用 本 规则 
忻 长 度 大 于 指定 的 大 小 


和 4 规则 名 称 四 : 
EREOEI 


[mm 已 于 -| 


图 8.5 新 规则 设置 (2) 
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当 用 户 连续 收 到 很 多 不 熟悉 的 发 件 人 的 邮件 ,特别 是 多 次 收 到 一 个 地 址 的 邮件 或 带 有 
很 大 附件 的 邮件 时 ,就 要 考虑 这 些 可 能 是 垃圾 邮件 了 。 这 就 可 以 通过 设置 过 滤 规则 对 垃圾 
邮件 进行 限制 。 如 打开 Outlook Express, 依 次 选择 “工具 ”一 “邮件 规则 ”一 “阻止 发 件 人 名 
单 ”, 在 弹出 的 “邮件 规则 ”窗口 中 , 单 击 “ 添 加 ”按钮 ,输入 你 想 阻 止 的 电子 邮件 地 址 (如 
abcd@163. com) ,确定 后 显示 在 窗口 中 ,如 图 8.6 所 示 。 还 可 以 继续 “添加 ”其 他 的 想 要 阻 
止 的 发 送 人 地 址 。 这 样 , 你 就 不 会 再 收 到 这 些 被 阻止 的 邮件 地 址 发 来 的 邮件 了 。 


ET 

这 自动 共 到 “已 队 闻 件 ”文件 夫 中 Gif 牢 ) 和 

邮件 ”新闻 “电子 邮件 地 址 /域名 

回 口 abcda163, com [EDa 
上 CR 


图 8.6 “阻止 发 件 人 ”设置 


(3) 使 用 纯 文本 格式 

HTML 格式 的 文档 可 能 含有 在 未 得 到 用 户 许可 的 情况 下 就 能 够 执行 某 些 操作 的 因素 ， 
在 用 户 单 击 时 , 它 就 可 能 将 用 户 带 到 一 个 陌生 的 网 站 。 虽 然 多 数 客户 端 软 件 可 以 起 到 保护 
作用 ,但 用 户 最 好 禁用 HTML 格式 ,而 采用 纯 文本 格式 。 

Outlook Express 下 使 用 纯 文本 的 方法 : 打开 Outlook Express, 选 择 “ 工 具 ” 一 “选项 ”， 
单 击 “ 阅 读 ” 选 项 卡 , 选 中 “用 纯 文本 格式 阅读 所 有 信息 ”并 单 击 “ 确 定 ” 按 钮 即 可 ,如 图 8.7 
所 示 。 

(4) 使 用 多 层 防御 

就 像 对 付 恶 意 软 件 一 样 ,要 保护 邮件 系统 的 安全 ,需要 采用 多 种 防御 措施 ,使 这 些 措施 
能 有 效 地 对 付 网 络 威胁 。 

中 客户 端的 安全 设置 。 事 实 上 ,所 有 主要 的 邮件 客户 端 都 提供 安全 设置 特性 、 反 垃圾 
邮件 、 防 钓鱼 等 功能 。 用 户 可 通过 这 些 功能 阻止 相关 的 威胁 。 

Q@ 使 用 防火 墙 。 许 多 企业 级 防火 墙 不 但 可 以 阻止 网 络 攻击 ,还 可 以 通过 过 滤 附 件 中 的 
恶意 代码 而 保障 邮件 系统 的 安全 性 。 当 然 这 需要 预先 在 防火 墙 中 设置 相关 的 规则 。 

@ 加 密 邮件 。 保 护 电子 邮件 安全 不 但 要 防止 恶意 邮件 到 达 用 户 桌 面 ,还 要 保护 发 出 邮 
件 的 安全 和 保密 。 采 用 加 密 措 施 , 即 可 将 发 送 的 邮件 变 为 一 种 非 授权 人 员 无 法 阅读 的 形式 ， 
从 而 保护 电子 邮件 的 机 密 性 。 在 发 送 电子 邮件 过 程 中 ,用 户 还 可 以 采用 加 密 的 传输 通道 。 
如 在 Outlook Express 中 ,选择 “工具 ”一 “选项 ”, 单 击 * 安 全 ”选项 卡 , 如 图 8. 8 所 示 。 在 这 
里 用 户 除了 勾 选 相应 的 项 目 外 ,还 应 进行 “数字 标识 "(证 书 ) 和 “获取 数字 标识 ”等 设置 。 
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二 选项 


利夫 | 网 这 加 所 | 发 类 括号 ”| 签名 
CE BE 安全 | 连接 | 维护 
家 全 1 连接 | 谁 所 病毒 防护 
第 规 |BEh | 发 二 | 搞 s5 | 签名 选择 要 使 有 的 Internet Explorer 安全 区 域 : 
i 个 mternet 区 焉 环 天安 全 ,但 现实 用) 区) 
A 厅 在 显示 邮件 昌 后。 习 黎 后 将 其 标记 为 已 赎 更 dd J 
了 当 别 的 应用 程序 试 加 用 我 的 名义 发 送 电子 邮 忻 时 敬 我) 。 
厂 自动 展开 组 合 邮件 名 ) 了 不 允许 保 存 或 打开 可 能 有 病毒 的 附件 中 。 
你 在 预 痪 窗 格 中 查看 的 同时 自动 下 载 邮 件 由) 下 载 图 蒜 
7 六 丰 格式 交 计 所 有 从 起 反 阻止 TWL 电子 邮件 中 的 图 漳 和 基地 外 部 内 容 @)。 
打 在 邮件 列 囊 中 为 台 贴 项 显示 工具 提示 00 安全 邮件 
| 岛 Et 容 呈 … 
网 FRO. | 
国人 hp 
厂 退出 新 邮 组 时 将 所 有 邮件 标记 为 已 读 和 0 
i 厂 对 所 有 竺 发 邮 件 的 内 容 和 附件 注 行 加 密 三) 
总 音 击 此 处 以 更 交加 江 闻 件 时 合用 的 字 件 和 对 认 红 吧 三 丰 所 有 特产 伯 中 类 加 小字 乱 各 他) 一 


字体 加) 国际 设置 CD) 


CD | mo | 
图 8.7 选择 使 用 纯 文 本 格式 


取消 应 用 (A) 
图 8.8 ” Outlook 的 邮件 加 密 设置 


@ 运用 反 病 毒 工具 。 目 前 ,许多 反 病 毒 工具 都 可 以 租 入 到 Outlook Express 等 邮件 客 
户 端 , 并 可 以 查找 和 清除 邮件 中 的 病毒 .蠕虫 和 特洛伊 木马 等 。 如 图 8. 9 所 示 的 NOD32 软 
件 就 具有 病毒 防护 和 Web 保护 等 功能 。 


ESET WOD32 Antivirns 


设置 


日 病毒 和 间 谋 软件 防护 
文件 系统 实时 防护 
日 电子 邮件 防护 
日 


Pop3 
电子 邮件 考 户 纺 
日 -Web 访问 保护 


外 -HT 
手动 扫 殴 计算 机 
排队 


加 


(5) 备份 邮件 资料 


电子 邮件 防护 
要 扫 搓 的 电子 凶 件 
已 接收 的 电子 邮件 介 
回忆 发 送 的 电子 邮件 名 
回 已 网 读 的 电子 邮件 名 


针对 特定 电子 邮件 关 弄 的 拉 作 
回 扫 施 纤 文 本 电子 邮件 正文 
回 扫 符 RTF 格式 电子 部 件 正文 Oo) 
思 区 电子 部 件 正文 村 扩 绩 文 丰 EE) 


回 更 新 后 重新 扫 拉 名) 
回 接受 其 它 模块 的 扫 撕 结果 人) 


NOD32 的 病毒 防护 和 Web 保护 功能 


与 系统 和 服务 器 一 样 ,Outlook Express 也 可 以 对 重要 的 资料 进行 备份 ,以 便 在 资料 丢 
失 或 当 资 料 被 破坏 时 可 以 及 时 恢复 。 默 认 情 况 下 ,Outlook Express 邮件 的 保存 位 置 是 C: 
WINDOWS\...\ApplicationData\Identities{4COABEE0-5D39-11D6-B814-9E1F7480B676}\ 
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Microsoft\OutlookExpress 文件 夹 , 其 中 { } 中 的 符号 不 是 固定 的 , 它 与 不 同 用 户 的 计算 机 
环境 有 关 。 将 该 文件 夹 中 的 所 有 文件 复制 到 下 : mymail 的 操作 步骤 为 : 在 Outlook Express 
中 选择 “工具 ”一 “选项 ”, 选 中 “维护 ”选项 卡 , 单 击 “ 存 储 文件 夹 ” 按 钮 ,在 弹出 的 “存储 位 置 ” 
窗口 中 单 击 “ 更 改 ” 按 钮 ,指定 存储 位 置 为 E; mymail 文件 夹 ,最 后 单 击 “ 确 定 ” 按 钮 即 可 ,如 
图 8. 10 所 示 。 同 样 ,我 们 可 以 对 通讯 簿 进行 转移 ,Outlook Express 的 通讯 短文 件 保存 在 
C: WINDOWS\. .. \ApplicationData\Microsoft\ Address Book 文件 夹 中 ,将 这 个 文件 夹 中 
的 . wab 文件 复制 到 其 他 文件 夹 中 如 : E: mytx 注册 表 编 辑 器 ,依次 找到 HKEY _ 
CURRENT_USERSoftwareMicrosoftWABWAB4WabFileName 子 键 分 支 ,然后 将 其 默认 
值 更 改 为 自己 的 文件 夹 E:mytx 即 可 。 


清除 邮件 
口 退 出 时 清空 “已 项 险 邮 件 ”文件 夹 中 的 邮件 到 ) 
口 离开 InAP 文件 夹 时 清除 已 制 除 的 邮件 到) 
压 辖 邮件 时 D) 
口 删除 新 闻 组 中 已 读 邮 件 的 正文 LL) 
回 新 闻 邮 件 下 载 @) [5 。 图] 天 后 即 被 扣除) 


府 “立即 清除 ”以 清除 计算 机 上 的 下 载 
直下 以 更 改 您 存储 邮件 的 


后 难 解答 
Doon 2 和 衣 扫 革 条 自 服务 加 的 所 有 直人 部 保存 在 一 


您 的 个 人 邮件 买 位 于 下 面 的 文件 夹 中 CD) ; 
[Ci:\Docments and Settings\Adninistrator\Cookies 


Ee [| 
图 8.10 备份 邮件 资料 的 存储 设置 


(6) 拒绝 Cookie 信息 

许多 网 站 会 使 用 一 些 不 易 被 察觉 的 技术 ,暗中 搜集 你 填写 在 表格 中 的 电子 邮件 信息 ,最 
常见 的 就 是 利用 Cookie 程序 记录 访客 上 网 的 浏览 行为 和 习惯 。 如 果 你 不 想 让 Cookie 程序 
记录 你 的 个 人 隐私 信息 , 则 可 以 在 浏览 器 中 做 一 些 必要 的 设置 ,要 求 浏览 器 在 接受 Cookie 
之 前 提醒 你 ,或 者 干脆 拒绝 它们 。 随 着 时 间 的 推移 ,Cookie 程序 记录 信息 可 能 越 来 越 多 。 
为 了 确保 安全 ,应 将 这 些 已 有 的 Cookie 信息 从 硬盘 中 清除 掉 , 并 在 浏览 器 中 调整 Cookie 设 
置 ,让 浏览 器 拒绝 接受 Cookie 信息 。 屏 项 Cookie 的 操作 步骤 为 : 在 图 8.2 所 示 “ 安 全 ”选项 
卡 下 , 单 击 “ 自 定义 级 别 ” 按 钮 ; 在 打开 的 如 图 8. 3 所 示 的 “安全 设置 ”对话 框 中 找到 关于 
Cookie 的 设置 ,然后 选择 “禁用 ”或 “提示 ”。 

如 果 在 公共 场所 收发 信件 ,保护 信件 内 容 的 隐私 性 是 很 重要 的 。 可 以 通过 “Internet 选 
项 ”的 “常规 ”选项 卡 ,如 图 8. 11 所 示 。 单 击 “ 删 除 文件 ”" “清除 历史 记录 ”以 及 “删除 
Cookies” 即 可 清除 一 些 隐私 信息 。 另 外 ,还 可 以 到 如 图 8. 12 所 示 的 “内 容 ” 选 项 卡 的 “个 人 
信息 ” 栏 单 击 “ 自 动 完 成 ”按钮 自动 完成 设置 、 清 除 表单 及 密码 等 。 
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Internet 选项 引 x| Internet 选项 [?Jx 
第 规 | 安全 | 隐私 | 内容 | 连接 | 程 床 | 高 级 | 常规 | 安全 | 隐私 内容 | 连接 | 程序 | 高 汶 | 


pe 三 分 级 审 查 
可 以 更 改 主页 。 [3 这 地 天 声 亲 和 和 助 称 控制 在 洲 计 让 机 上 看 到 的 TInternet 
http /fre situ edu cry 启用 中 | 设置 如 ) | 
Eng | mneenw | xxxxz [| 
Internet 临时 文件 


Y 证 : 自 避 | 
次 eR EU 全 明正 量 这 成 可 以 列 出 与 您 以 前 输入 的 内 容 最 相符 的 条 目 。 


删除 Cookies 上) 期 除 文件 他 ).…. | 设置 @)、 
-历史 记录 
@ 过 半生 +， 可 使 用 户 快 
网 页 保存 在 历史 记录 中 的 天 数 ): 了 习 清除 历史 记录 0D 


颜色 他 ), 字体 加 辅 盈 功能 到) | 


IF se 地 下] 
Be 厅 表单 加 ) 
语 昌 番 |。 屎 失地 我 保存 码 四 ) 


所 表单 上 的 用 户 名 和 密码 EE) 
清除 自动 这 成 历史 记录 一 一 一 一 一 一 一 一 一 一 一 
加 | 


清除 SSL EE 


清除 表单 人 ) 清除 密码 I) 
Nt 


Ce we | 一 wm | 
图 8.11 Internet* 常 规 ” 设 置 图 8.12 清除 隐私 的 自动 设置 


86 一 种 全 面 防御 软件 的 应 用 实例 
一 一 360 安全 卫士 的 应 用 


1. 360 安全 卫士 简介 


360 安全 卫士 是 由 奇 虎 公司 推出 的 国内 最 受 欢迎 的 完全 免费 的 安全 类 上 网 辅助 工具 软 
件 , 它 拥有 查 杀 流 行 木 马 、 清 理 恶 评 及 系统 插件 、 管 理应 用 软件 ,卡巴 斯 基 杀 毒 、 系 统 实时 保 
护 \ 诊 断 及 修复 系统 漏洞 等 多 个 强劲 功能 ,同时 还 提供 系统 全 面 诊断 、 弹 出 插件 免疫 、 清 理 使 
用 痕迹 以 及 系统 还 原 等 特定 辅助 功能 ,并 且 提 供 对 系统 的 全 面 诊断 报告 ,方便 用 户 及 时 定位 
问题 所 在 ,真正 为 每 一 位 用 户 提 供 全 方位 的 系统 安全 保护 。 

360 安全 卫士 官方 下 载 地 址 : http://www. 360. cn/down/soft_down2-3. html。 

更 多 360 功能 集成 下 载 地 址 : http://hi. baidu. com/ xxcxz/ blog/item/ 8147c28bf2elddd7fc 
1f10a5. html。 

360 安全 中 心 的 专家 认为 :“ 要 真正 摆脱 恶意 软件 的 梦 帮 ,被 动 查 杀 是 远 远 不 够 的 ,360 
安全 卫士 的 实时 保护 功能 , 它 就 像 杀 毒 软件 那样 , 常 驻 内 存 , 能 够 随时 监测 系统 安全 状况 ,一 
旦 有 恶意 软件 试图 侵入 ,将 报警 提示 ,并 做 相应 处 理 .”360 安全 卫士 在 着 力 加 强 对 新 出 现 的 
突 发 式 恶意 软件 查 杀 的 同时 ,持续 做 着 对 提升 用 户 查 杀 体 验方 面 的 努力 ,不断 有 新 版 本 
登陆 。 

360 安全 卫士 主要 有 以 下 功能 : 

。 主动 防御 全 面 保护 。 该 软件 能 阻止 恶意 程序 安装 ,保护 系统 的 关键 位 置 ; 拦截 恶意 

钓鱼 网 站 ,防止 账号 .QQ 号 、 密 码 等 丢失 ; 每 日 更 新 拦截 数据 库 , 让 系统 每 时 每 刻 处 
于 保护 之 中 。 
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查 杀 能 力 与 时 俱 进 。 该 软件 可 进行 一 周 数 次 的 恶意 软件 特征 库 更 新 ,一 周一 次 的 
查 杀 引擎 更 新 。 驱 动 免疫 ,特征 查 杀 .行为 预 判 等 独门 绝技 确保 超 强 的 查 杀 能 力 ， 
一 改 同类 软件 查 得 到 杀 不 干净 的 尴 婉 ,全 面 彻底 查 杀 最 新 流行 木马 ,如 机 器 狗 4 
代 、 新 型 AV 终结 者 等 ,让 新 老 恶意 软件 无 所 通 形 。 能 够 直接 删除 掉 恶 意 软件 的 
驱动 ,对 用 户 电脑 进行 保护 的 “破冰 ”技术 ,追击 查 杀 广告 软件 asn. 2、 灰 铝 子 等 最 
随时 印 载 多余 插 件 。 该 软件 可 完全 印 载 8 大 类 共 400 多 种 插件 ,可 大 幅度 提高 电脑 
运行 速度 。 每 个 插件 均 有 详细 的 功能 描述 ,供用 户 方便 判断 。 

精准 诊断 智能 修复 。 该 软件 推出 最 全 面 的 系统 诊断 方式 ,提供 强大 的 漏洞 扫描 功 
能 ,可 全 面 检测 数 百 个 系统 漏洞 ,扫描 系统 200 多 个 可 疑 位 置 ,知识 库 提 供 3 万 多 条 
进程 知识 解释 ,可 智能 修复 IE 浏览 器 、 网 络 连接 等 设置 。 增 强 漏 洞 补丁 模块 ,漏洞 
补丁 即 下 即 装 ,智能 修复 更 快捷 方便 ,全 面 保证 用 户 的 系统 安全 。 

免费 强劲 病毒 查 杀 。 该 软件 集成 了 卡巴 斯 基 杀 毒 软 件 ,使 用 户 可 免费 享受 卡巴 斯 基 
正版 杀毒 服务 , 查 杀 20 余 万 种 病毒 .7X 24 小 时 (全 和 天候) 免费 技术 服务 ,每 小 时 病 
毒 库 增 量 更 新 。 

增强 痕迹 清理 功能 ,全 面 保护 上 网 隐私 。 该 软件 可 彻底 地 清理 系统 使 用 痕迹 ,保护 
上 网 隐私 ,优化 系统 速度 。 

双重 备份 使 用 更 安全 。 该 软件 具有 独特 的 网 络 设置 备份 与 系统 还 原 备 份 ,使 用 户 随 
时 可 以 还 原 系统 到 查 杀 之 前 的 原 有 设置 ,不 用 担心 误 操作 带 来 的 负面 影响 。 


2. 360 安全 卫士 应 用 


这 里 以 目前 最 新 的 360 安全 卫士 V4. 2 为 例 进 行 介 绍 。 该 软件 主要 有 “常用 ”"“ 杀 毒 ”、 
“高 级 “保护” 等 功能 项 。 

1)“ 常 用 ”功能 项 

“常用 ”功能 项 具有 查 杀 木 马 、 清 理 恶 评 软 件 \ 修 复 系统 漏洞 、 系 统 全 面 诊断 、 清 理 使 用 痕 
迹 等 常用 功能 。 

(1)“ 常 用 ”功能 项 

360 安全 卫士 的 常用 功能 的 基本 状态 如 图 8. 13 所 示 。 单 击 “ 立 即 检测 ”后 将 显示 检测 
结果 。 如 果 检 测 结果 显示 系统 有 漏洞 和 风险 , 则 要 进行 相应 的 查看 或 扫描 ,还 要 继续 进行 其 
他 操作 。 

(2) 清理 使 用 痕迹 

单 击 右上 角 的 “清理 使 用 痕迹 ”选项 卡 , 再 直接 单 击 左下 角 的 “全 选 " 后 单 击 “ 立 即 清 理 ” 
即 可 。 

(3) 修复 系统 漏洞 

该 功能 可 简单 快捷 地 为 系统 及 软件 打上 补丁 ,所 有 的 补丁 均 来 自 微软 官方 。 单 击 “ 修 复 
系统 漏洞 选项 卡 出 现 如 图 8. 14 所 示 界 面 。 

无 论 是 系统 漏洞 还 是 软件 漏洞 ,只 要 显示 有 漏洞 ,就 单 击 “ 查 看 并 修复 漏洞 ”, 如 图 8. 14 
所 示 , 可 显示 机 器 上 的 漏洞 项 目 。 如 系统 中 有 多 个 漏洞 可 逐个 勾 选 或 “全 选 ”, 再 选择 “修复 
选中 漏洞 ,如 图 8. 15 所 示 , 即 可 进行 漏洞 修复 。 
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有 360 安 全 卫士 Y4- 2 


杀 才 


a 


才 
保护 


设置 论坛 举报 委 意 软件 回 巴 ] 回 四 


aeE0 ey 
室 全 了 二 ~ 


[ 展 二 状态 | 查 亲 流 行 林 马 ] | 洁 再 天 评 拍 件 | 管理 应 用 软件 | 修复 系统 电 洞 | 不 统 全 面 渗 断 [ 清理 使 用 靖 迹 | 装机 必 备 软件 | 


建议 立即 进行 系统 安全 体检 


C2 的 安全 问题 。 


个 抽 的 的 凡 理 扫 员 扩 及 加 问 闲 寻 有 站 立即 榨 测 | 


上 次 体检 时 间 : 2008-6-15 15:49;29 
上 次 体检 指数 : 全 例 例 例 全 
每 天 仅 自动 检测 一 次 妖 改 设置 

推荐 功能 : 查 杀 这 行 二 马 、| 洁 理 恶 评 插件 | 修复 系统 泼 洞 


饼 上 次 木马 扫 撕 时 间 : 2008-8-15 15:44:36 


但 官 方 日 志 : 


定时 查 杀 流行 木马 将 有 助 于 保护 系统 帐号 安全 ,防止 投票 ; 你 认为 什么 回 结 游 丽 最 许 织 了 _ 
和 [Cea | pe 
号 检测 到 您 的 系统 中 未 安装 ”谷歌 失 音 输入 法 车 卡巴 类 站 反 病 下 KAyT_0 正 版 沿 活 码 限量 热 铀 1 
谷歌 拼音 输入 法 是 你 中文 输入 的 景 位 伴侣 ， 它 沪 最 60 元 
全 的 互联 网 全 iC ,过 词 淮 确 守 最 高 、 支 持 一 强 搜 索 [Crm | pd 
主 程序 版 本 : 4.2.0. 1010 特征 库 版 本 : 1.0. 1. 1992 主 程序 和 特征 库 已 经 是 最 新 版 本 20 锡 演 木马 恶意 攻击 季 莹 


图 8.13 360 安全 卫士 基本 功能 状态 


如 360 安 全 卫士 VY4.2 设置 论坛 举报 恶意 软件 加 已] 回回 


启 El 
保护 卫士 


吕 总 


NN 
| 


杀毒 


基本 状态 | 查 亲 流行 术 马 | 清理 要 评 插件 | 管理 应 用 软件 | 修复 系 园 泌 油 | 夭 统 全 面 涌 断 | 滞 理 使 用 闹 还 || 装机 必 各 软件 | 
榨 测 到 作 的 系统 中 存在 1 个 系统 派 洞 和 个 安全 风 辽 。 打开 已 下 载 的 补 工 安 半 程 序 目录 
EEE 
全 未 鞠 存 在 泼 油 
您 的 系统 存在 1 个 漏洞。 有 系 统 存在 尘 油 容易 受到 | 轩 客 或 者 续 由 病毒 的 攻击 ， 请 下 载 泼 洞 补丁 修复 程序 进行 
竺 修复 漏洞 修复 .请 点 击 “ 查 看 并 修复 漏洞 ”查看 并 下 载 漏洞 补丁 进行 修复 。 
了 了 解 洋 细 仿 息 修复 浙 泪 设置 可 看 并 修复 漏洞 
辟 
已 修复 泼 洞 
理 新 所 菩 
4 20.1010 特征 库 乒 本 3 1 0 1 1962 主 往 序 和 特定 床 已 如 是 最 新 版 本 3 多 章 本 马 亚 意 攻 击 开演 


图 8.14 修复 系统 漏洞 功能 


(4) 查 杀 流 行 木马 
建议 选择 "全盘 扫 描 ”, 再 把 下 面 的 “增强 功能 选择 ”的 两 个 可 选项 都 选 上 , 单 击 “ 开 始 扫 
描 ”, 如 图 8.16 所 示 。 
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与 TT 
/En 
s 漏 润 信 复 

待 修复 系统 总 词 | 竺 禾 复 软件 二 油 || 已 装 补丁 管理 | 已 知 咯 补丁 | 高 领 设置 

您 的 系统 中 有 2 个 软件 漏洞 ,请 及 时 修复 什么 是 第 三 方 软件 漏洞? 

软件 名 称 存在 漏洞 版 本 解决 办 法 建议 漏洞 详细 信息 
源 泪 撕 还 -也 ssh Flayer 存 在 漏洞 ， 黑 

版 本 升 至 百 方 最 新 版 本 客 可 以 通过 此 油光 在 用 户 浏览 网 页 

所 asha 画 时 各 用 户 电 脑 中 植 入 木马 。 
官方 网 址 

加 eumaeyerc Crmoc3260, 四 1 版 丰 号 ,. ， 梦 用 com 担 件 安装 包 tip L/wws, adobs. con/cn 
安装 天 立 件 大 小 -1 48N 

尝 360 泌 洞 修复 [| 网 站 下 载 页 面 : 
正在 从 指定 网 站 下 载 并 安装 更 新 


正在 下 载 Flash Flayer 软 件 的 最 新 版 , 共 1 个 待 
修复 的 软件 汤池 


Ei 
取消 
这 个 补丁 打 不 上 ? 
一 一 ”请 点 这 里 此 诉 我 们 
百科 热 贴 :什么 量 至 绽 汰 洞 ”王族 香 至 搞 湿 油 有 什么 施 查 0Efics 肖 洞 补 工具 体内 容 小 结 ”AIT 浙 油 秀 吾 性 扫 吉 


厂 全 选修 复 历史 记录 | | 字 忆 日 录 座 受 


图 8.15 修复 选中 漏洞 


如 360 安 全 卫士 V4.2 设置 论坛 举报 恶意 软件 [局 
局 9 三 启 >) © a6E0 ES 
常用 杀毒 高 级 保护 求助 刘 安全 卫 十 4 

艺术 状态 | 可 条 流行 下 总 || 酒 理 息 评 白 件 |[ 管理 应 用 软件 |[ 修复 系统 汤 洞 |[ 系统 全 面 诊 新 | 清理 使 用 痕迹 | 装机 必 备 软件 | 
定 随 碍 欠 流 行 椒 马 将 能 及 时 术 测 及 碍 东安 全 卫 十 什么 是 酝 马 了 
6 在 进行 木马 扫描 前 ,将 先进 行 增强 桓 块 更 新 。 使 用 最 
i 新 增强 醒 志 家 名 确保 及 时 查 杀 最 新 流行 趟 马 、 i 三 
6 快速 扫描 扫 拉 系统 内 麟 ”古本 本 面 本 本 而 本 古 本 本 而 而 汪汪 硬 有 癌 题 ,求助 中 心 帮 你 
是 新 2.4 本 马 专 杀 大 全 下 载 
人 全 侣 扫描 扫描 系统 内 下 相 下 过 vi000 dat 已 下 载 下 -二 7 ) ~- mm 
区 Diim 机器 沽 最 新 专 杀 工 具 5.2 
个 自 定义 区 域 扫描 由 悠 指 全 下 载 56 54IB ) ee 
扫 雪 区 域 设 置 。 于 好 计 把 下 载 54. 4613 ) ea 
ET 1 nm ) 【新 】 而 友 机 病毒 专 杀 
了 【新 】 最 新 版 Tevahe 志 亲 
?增强 功能 选择 J 开奖 克 专 承 工具- 最 新 更 新 
厢 下 载 380 完 全 椒 马 库 进行 : 雯 360 百 科 社 区 公告 
厅 安 天 木马 查 杀 引 萤 《Pov 打造 真正 的 380 电 脑 百科 全 蔬 
说 明 : 他 择 以 上 两 个 增强 : 320 百 科 e 月 奥运 活动 时 全 表 
了 - 二 分 钟 带 你 沅 种 百科 4 
ei 证 芝 划 生生 的 各 不 马 ET 
220 安 全 浏览 器 | 0bets 版 发 有 
as 
室 . 开始 扫 其 于 es 
举 近 本 马 到 60 安全 中 心 好 消息 : 社区 编辑 部 招 人 啦 _ 
更 多 精彩 。 尽 在 休闲 提 乐 ?_ 
主 程序 版 本 : 4. 2. 0. 1010 特征 库 版 本 : 1.0.1. 1992 主 程序 和 特征 库 已 经 是 最 新 版 本 360 免 草木 马 恶 意 到 击 秋 筑 


图 8. 16 查 杀 流行 木马 


如 果 扫 描 完 毕 显 示 有 木马 存在 , 则 逐个 勾 选 或 “全 选 " 木 马 后 “ 立 即 查 杀 ”, 建 议 选 择 “ 强 
力 查 杀 ”。 
(5) 清理 恶 评 插件 
单 击 “ 清 理 恶 评 插 件 ” 选 项 卡 , 再 单 击 中 间 的 “开始 扫描 ”, 如 图 8. 17 所 示 。 
扫描 结果 如 显示 存在 “ 恶 评 插 件 ”( 其 后 数字 非 0) ,就 直接 点 击 ,选择 左下 角 的 全 选 并 单 
“立即 清理 ”按钮 。 当 前 机 器 上 显示 没有 恶 评 插 件 , 如 图 8. 18 所 示 , 只 有 “其 他 插件 ”和 “ 信 
任 插件 ”。 


289 


5 计算 机 网 络 安全 ( 第 2 版 ) 


写 360 安 全 卫士 Y4-2 设置 论坛 举报 委 意 软件 [| 三][S[] 


多) 名 要 久久 加 EE 起 


[ 基本 状态 |[ 查 杀 流行 不 马 | 洁 尾 总评 壬 件 | 各 理应 用 软件 |[ 修复 隶 统 源 洞 | 承 统 全 面 诊断 “|| 清理 使 用 痕迹 || 装机 必 备 软件 | 


清理 不 需要 的 插件 程序 ， 可 以 提高 系 硫 运行 芝 度 。 什么 是 揪 作 程序 7 
全 部 插件 _ 名称 _ 

恶 评 拍 件 0) 
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信任 插件 吕 ) 
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| 尽 ， 开始 扫 描 
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图 8.17 清理 恶 评 插件 


责 360 安 全 卫士 Y4.2 


设置 论坛 源 报 天意 软件 EE] 
其 它 所 件 后 ) 
Wh) teh 
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久 及 时 进行 森马 扫 抄 有 助 于 倪 护 各 类 帐号 密码 安全 。 地 连 扫 描 
- 访 与 其它 网 友 交 流 软 件 使 用 心 惕 ， 由 您 未 为 软件 打分 访问 百科 
4 
la 系统 存在 360 安 全 卫士 未 检测 到 的 插件 ? 。 证 点 击 这 里 圭 所 到 3260 安全 中 心 
人 | | vs | 
主 程序 版 本 : 4 2.0. 1010 苇 征 库 版 本 :1.0.1 1979 主 程序 和 尾 征 座 已 经 是 最 新 版 本 320 委 于 不 马 亚 意 攻击 各 答 


8.18 没有 亚 评 插件 提示 窗口 


(6) 管理 应 用 软件 


该 功能 可 查看 装机 必 备 软件 .开机 启动 软件 .正在 运行 软件 和 已 安装 软件 内 容 。 在 已 安 
装 的 软件 里 ,360 会 搜索 出 机 器 安装 过 的 软件 ,如 不 想 要 哪 款 软件 ,就 单 击 软件 下 面 的 “ 御 
载 ?按钮 ,这 与 控制 面板 的 印 载 方式 相同 。 


查看 并 显示 正在 运行 的 软件 如 图 8. 19 所 示 ,查看 最 新 流行 软件 如 图 8. 20 所 示 ,查看 装 
机 必 备 软件 如 图 8. 21 所 示 。 
Coir 请 移入 软件 各 称 ， 控 索 更 多 软件 详 渍 
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闭 机 必 备 软件 | 最 新 这 和 软件 | 开机 启动 软件 | 正在 运行 软件 | 已 安装 砍 件 
查看 运行 软件 闫 者， 了 解 系 转交 源 信 用 亿 况 


进程 名 称 状态 
音 毁 同 
项 Sofulanager_ exe 安全 等 新 :安全 内 存 :10 40WB 


C:\Progr mm Piles\380safe\SoftMer \Sofllanager exe 


奇 席 360 实 全 卫士 安全 等 级 :安全 内 存 :35 99 
C:\Program Filess\360safev360Safe exe 


总 saotrug ore 安全 等 骸 ; 安全 内 存 :2.0L4D 
Ci \Progr om Tiles\360safe\safenon\360tray, exe 

RealNetworks, Tne. 

rlyer 安全 等 级 ; 安全 内 存 :160. 0019 
C:\Program Files\Common Files\Real\lpdate_OB\realsched exe 

Tatel Corporation 


门 mm ane 安全 等 级 ; 安全 内 存 :3.488 
CNWTRDOYSVsysten32shkond sxe 


TT igtxpers. exe 实 全 等 级 ;安全 内 在 ;3. 46WB 
CMRDOYSVevzten32Ai etzoers axe 


图 8. 19 查看 正在 运行 的 软件 
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翻译 
图 8. 20 查看 最 新 流行 软件 


(7) 系统 全 面 诊断 


如 图 8. 22 所 示 ,如 果 其 中 有 几 项 风险 ,可 选中 后 根据 具体 情况 进行 “修复 选中 项 ”和 “ 导 


出 诊断 报告 ”。 
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= 36e0 
证 忆 歌 什 理 。 [ 渤 病 入 软件 吉 称 ， 搜 索 更 才 软 件 许 请 万 | 


装机 六 备 软 者 || 是 新 沪 行 软件 || 开机 生动 软 件 | 正在 运行 软件 | 已 安 业 玫 御 | 


和 连 皇 驳 件 闪 别 | :| 安全 三 和 连 择 驳 件 状 识 :| 全 二 可 指定 下 堪 目 录 打开 下 载 目录 


360: 安 全 卫士 *.3 [ 淅 版 相 ] 
| 和 Ti 村 江 人 ;专家 名 电脑 保 护 ee 已 安村 已 经 是 是 新 版 让 
Re | 2350 和 2.2 
Ea 360 保 隘 箱 ， 哗 号 的 安全 伴 铝 2 已 于 从 已 经 是 是 淅 版 本 


飞信 (Fetien) Zoo 已 安 疾 


芜 费 的 手机 暑 天 专家 11.G6NB 已 经 是 最 新 版 本 
sxrpe 婚 列 同 络 电话 3 - 
和 县 {E 的 EF+ 通 活 直 用 2L.4UNB 未 安村 [7 下 加 并 安装 | 


于 讯 a9 Zo05 [新 地 本 ] 
传 文件 ， 状 宵 息 ， 交 明 友 ,于 游戏 ， 用 电脑 祝 生 世界 "0 已 实 闪 已经 是 最新 版 本 


SH 了 天 软件 8-5 
全 昧 使 用 是 广 的 通讯 软件 。 办 公 人 士 必 备 19.3208 未 安 此 | 区 2 开眼 并 安 装 串 


图 8.21 查看 装机 必 备 软件 


页 3560 去 全 五 十 V4.2 诅 要 语 坛 这 报 秋 意 软件 加 加 ] 回 区 


如 邱 ) 多 沁 ES 


[天 大志] 喜 杀 流行 不 马 | Mamma [wean [wanam [ARTHAS we [waesue] 


全 面 诊断 本 次 共 扫 描 i95 个 位 置 ,其 中 有 0 项 危险 FE 
请 选择 您 想 要 进行 修复 的 项 ， 点 击 “ 修 复 选 中 项 ” 
组 别 | 名 称 . 著述 命令 行 
进程 项 _- 显示 系统 当前 运行 的 进程 
加 @ 100 - :wss exe 进程 为 全 话 管理 子 系统 用 以 初始 化 系统 变量 ,m=s-dos 驱 动 名 称 准 亿 lpt1 以 及 C: MWINDOWS\sy 
回 @@ 100 - csrss. exe 考 户 篇 服务 子 系统 ， 用 以 控制 windows 图 形 相 关子 系统。 C: \WINDOWS\sy 
100 一 winlogon exe windows nt 用 户 登陆 程序 。 C: MWINDOWS\sy 
100 — services. exe 用 于 管理 windows 服 务 系 撤 进 程 e C: MWINDOWS\sy 
100 一 1sass exe 本 地 安全 权限 服务 控制 windows 安 全 机 制 。 C: MWINDOWSM\sy 
100 — svehost. exe service host process 是 一 个 标 礁 的 动态 连接 库 主机 处 理 服务 。 C:\WINDOWS\sy 
100 一 svehost, exe service host process 是 一 个 标准 的 动态 连接 库 主 机 处 理 服务 。 C: WINDOWS\sy 
100 一 svchost. exe service host process 昨 一 个 标准 的 动态 连接 库 主机 处 理 服 务 。 C:\WINDOWS\sy 
100 一 svchost. exe service host Jrocess 是 一 个 标准 的 动态 连接 库 主 机 处 理 服务 。 C: AMWINDOYWYSNsy 
100 ~ svehost exe ervice host process 是 一 个 标准 的 动 者 连接 库 主 机 处 理 服 务 - CL: MWINDOWS\sy 
100 ~ spoolsv. exe windews 打 印 任务 控制 程序 ,用 以 打印 机 就 绪 。 C: WINDOWSNsy 
100 一 explorer, exe windows progr am manager 或 者 windows explorer 用 于 控制 windows 图 形 =helC: WINDOWS\ex 
100 — nod32kui. exe eset nod32 反 病毒 软件 相关 程序 。 C:\Program Fi 
100 - 360tray exe 360 安 全 卫士 实时 监控 程序 - C:\Program Fi 
100 lsch 升级 提前 程序 。 Lt A! Fi 
厂 唤 闻 安全 项 [EEC [aa 


主 程序 版 本 : 4.2. 0. 1010 特征 库 版 本 : 1.0.1. 1992 主 程序 和 特征 库 已 经 是 最 新 版 本 3250 免得 本 马 恶 写 攻 击 秘 营 


8.22 系统 全 面 诊 断 


2) “杀毒” 功能 项 

“杀毒 ”功能 项 包括 在 线 杀毒 ,病毒 专 杀 工具 和 恶 评 软 件 专 杀 工具 。 在 线 杀 毒 可 利用 卡 
巴 斯 基 反 病 毒 软件 进行 查 杀 病毒 ,如 图 8. 23 所 示 。 

该 项 中 360 安全 卫士 为 用 户 提供 了 “病毒 专 杀 工 具 ”( 如 图 8. 24 所 示 ) 和 “ 恶 评 插 件 专 杀 
工具 ”下 载 。 


第 8 章 Internet 安 全 


本 360 安全 了 证 Va. WE 
i Dy 
于 名 多 间 as 
时 安全 卫士 
六 可 | 在线 订 过 | 请 本 世 亲 工具 | 亚 评 下 全 地 工 具 | 
es 从 旺季 级 
卡巴 斯 基 反 病 惠 升 级 
立 印 下 载 全 而 碍 病夫 
在 线 查 毒 手机 用 户 购买 多 卡巴 鞭 基 , 在 原价 296 元 要 数 备 份 软件 ) 
个 25 元 /半年 10 元 /月 
拥有 怕人 的 病 帮 术 测 率 和 强悍 的 病毒 扫 撕 族 力 i 丽 We 
启发 式 扫 并 可 以 检测 相知 病毒 
网 络 安装 ， 简 单方 便 (只 需 点 二 链接 ) 元 
村 C zs 元 /半年 
立即 查 杀 . 支付 宝 用 户 购买 对 ) 
Online Scan 6 40 元 /全 年 
es zs 元 /半年 
“二 芝 杰 稚 ， 辐 划 3 呈 才 在 玉 行 二 马 优 久 用 户 忆 于 才 舌 方法。 卡巴 基 关内 天 问 本 解答 厂 
| | ee 2 全 革 
大 
0 1010 特定 让 打下，1 0_1 1900 宇和 序 和 竺 证 已 二 县 冲 新 产 相 ET ET 
图 8.23 系统 查 杀 病 毒 


本 3560 安全 卫士 Y4.2 


设 要 论坛 举报 敌 守 软件 可 局 I 回 区 


EO 
受 全 卫士 


卡巴 斯 基 帮 您 解决 用 难 入 
更 评 基 件 专 杀 工具 
| 360 丙 回 林 马 专 亲 大 全 
更" 时间 :2008-04-23 大 小 : 2.99M [| 
360 顽 固 林 马 专 杀 大 全 为 您 提供 “一 站 式 ” 解 决 木马 方法 , 景 快 最 全 解决 系统 诸多 问题 。 如 果 


360 安 全 卫士 无 法 安装 、 运 行 ， 系 统 中 已 感染 木马 、 病 毒 ， 或 者 系统 出 现 不 正常 状况 ,建议 您 下 
瞄 360 丈 固 椒 马 痊 杀 大 全 使 用 ? … 更 多 >> 


国 


到 百科 讨论 该 专 杀 工具 


| 机 圳 独 木马 专 对 工具 
更 疡 时 间 : 2008-04-14 大 小 : 677KB 


[eB Ee 
用 户 评定 “机 器 狗 木 马 ” 和 恶意 行 为 : 
机 器 狗 ， 是 一 种 病毒 下 载 器 ， 它 可 以 给 用 户 的 电脑 下 载 大 量 的 森马、 病毒 、 和 恶意 软件 、 折 件 等 
一 旦 中 招 , 用 户 的 电脑 便 随时 可 能 感染 任何 森马、 病毒， 这 些 木马 病毒 会 疯狂 地 雇用 用 户 的 隐私 
资料 5 如 帐号 密码 、 税 密 文 件 等 )， 也 会 破坏 操作 系统 ， 使 用 户 的 机 器 无 法 正常 运行， 它 还 可 以 
通过 内 部 网 络 传播 、 下 载 U 盘 病毒 和 Arp 攻 击 病毒 ,能 引发 整个 同 络 的 电脑 全 部 自动 重启 。 对 于 
网 吧 而 言 ， 机 器 狗 就 是 爹 导 当 网 吧 而 来 ， 针 对 所 有 的 还 原 产 品 设计 ， 基 破坏 力 可 能 会 很 快 会 超过 能 
注 虎 看 …*… 更 多 >> 


磁 雄 机 病毒 5 dummycom ) 专 杀 工具 
更 新 时 间 : 2008-03-24 大 小 : 416 KB 


i 和 


到 百科 讨论 恋 专 杀 工 具 


主 程 序 版 本 : 4. 2 0. 1010 转 征 库 版 本 : 1.0.1 1992 主 程序 和 斩 征 库 已 经 是 最 新 版 本 
图 8.24 360 安全 卫士 的 恶 评 插件 专 杀 工 具 


3)“ 高 级 ”功能 项 
“高 级 ”功能 项 包括 修复 下、 启动 
(1)“ 修 复 IE” 功 能 


该 功能 为 用 户 提供 快捷 、 安 全 的 智能 修复 方式 ,帮助 用 户 快速 修复 系统 中 的 问题 ,如 


项 状态 、 系 统 服务 状态 、 网 络 连 接 状 态 等 。 


图 8. 25 所 示 ,选择 要 修复 的 项 目 , 单 击 “ 立 即 修复 ”进行 修复 ,将 显示 修复 结果 。 
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。 
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中 360 安 全 卫士 Y4.2 设 团 论坛 举报 悉 意 软件 回 蔬 ] 回 四 | 


和 < 省 二 


[各 | 动 项 估 才 |[ 隶 二 和 务 状 态 |[ 未 续 进 程 坊 ] | 网 党 连 近 大 坊 | 高 加 工具 条 | 


王 修 复 为 您 提供 快捷 、 实 全 的 智能 修复 方式 ， 和 助 次 快速 修复 承 统 中 存在 的 问题 。 请 这 择 您 想 要 进行 修复 的 项 目 ， 点 
击 “ 立 即 修复 ”进行 修复 - 


回 强力 清除 危险 的 进程 项 

回 强力 清除 危险 的 windows 自 启动 项 
回 强力 清除 危险 的 TE 有 键 菜单 颜 外 项 ， 卫 高 级 选项 额外 项 和 TF 工具 栏 额外 项 
回 强力 清除 危险 的 IF 第 三 方 工具 条 ，Bc 插 件 , AetiveX 对 象 
强力 清除 非法 的 计划 任务 

回 焦 各 host: 文 件 为 默认 状态 

回 恢复 协议 关联 ,协议 图 标 ,文件 关联 为 默认 状态 

回 恢复 11 首 页, 卫 搜 索 页 ,代理 服务 器 设置 为 默认 状态 
回 恢复 被 禁用 的 Ts 选项 

回 恢复 被 条 用 的 注册 表 编辑 器 

回 恢复 该 限制 的 系统 功能 

全 千 ” 全 不 选 


立即 修复 


主 程序 版 本 : 4 2.0. 1010 特征 库 版 本 : 1,0. 1 1992 主 程序 和 特征 库 已 经 是 最 新 版 本 各 0 锡 章 木马 玩意 攻击 币 笠 


图 8.25 “修复 IE” 功 能 


(2)“ 启 动 项 状态 ”功能 

利用 如 图 8. 26 所 示 的 “启动 项 状态 "功能, 用户 可 将 打算 禁用 的 启用 项 勾 选 , 单 击 右 下 
角 的 “禁用 选中 项 ”按钮 即 可 禁用 这 些 项 ; 如 果 打 算 再 恢复 某 个 禁用 , 勾 选 后 单 击 “ 开 启 选 中 
项 ”按钮 即 可 。 


360 安 全 卫士 V4.2 过 村 论坛 举报 恶意 软件 本 | 忆 ] 加 | 鸭 
© ZUZz | 全 (2) © 360 后 是 
重用 杀毒 高 级 于 胞 E33 安全 卫士 A” 

局 动 项 状 访 | 系统 服务 状态 |[ 系 扩 进程 状态 | 网络 连 接 状 态 || 商 斌 工具 末 | 

清理 启动 项 可 以 提高 windows 的 启动 过 度 ,请 清理 您 不 需要 随机 局 动 的 启动 项 条 目 。 

状态 名称 安全 傅 别 入 述 全 信行 
启用 Anti Trojan 未 知 C:\Program Files\Anti Trojan El 
局 用 四] switeh 未知 <: inaowsNsysten32\ 公 纸 目 动 热 ，， 


局 用 Anti Trojan 未 知 Ci\Progron Files\Anti Trojan El 
启用 a] switeh 未 知 :windowsvsysten32\ 竹 纸 自 动 搜 .， 


启用 0 游戏 启动 加 安全 as 游戏 启动 加 速 相关 程序 - Ci\Docunents and Settings\Adnin: 
启用 se 安全 coolze 工 具 栏 相关 程序 - C:\Proeram Files\Google\GoogleT, 
局 用 EtEnon exe 安全 office xy 输入 法 图 标 。 C: VTIDOWSYsystem32VetEmen exe 


所 用” 国 sownanxPnr 安全 。。 analeg deviee 公 司 声卡 驱动 程序。 C:\Program ?ilesVhaaleg Devices’ 
启用 站 ieecper= 安全 intel 集 成 显卡 相关 文件 - CC: \WINDOWS\ system32\iefxpers. ex 
司 iesaukcna 安全 inta] 热 刍 二 令 种 块 相关 程序 - C:\WINDORS\ systen32\hkend. exe 


和 000000000000000000 
到 
上] 


启用 ”六 360safebox 安全 。 360 安 全 卫 十 保障 条 相关 程序 。 “C:\Program Files\3005afebox\se: 
启用 ”加 rraellgxe 安全 。。 是 Resl jetverks 产 品 定时 升 话 术 测 程序 。 “C:\Program PilesVCemmen Piles\l 
启用 如 aaossfetroy 安全 ”360xxEe 实 时 保护 功能 模块 。 C:\Program Files\380rafa\safomor 
局 用 团 nod32mi 安全 nod32 防 病 索 软件 的 主 监控 程序 。 “C:\Program Files\VEset\vnod32lui 
启用 SoundMAX 安全 analog device 公 司 声 卡 驱 动 程序 。 “C:\Program Files\Analog Devicer 
启用 9 游戏 局 动 加 安全 。。 aq 游 戏 启动 加 速 相关 程序 - C:\Documents and Settings\Adnin: 
启用 se 安全 。 6ooles 工 具 栏 相关 程序 - Ci\Progron Files\Goo€le\GoogleT, 
局 用 ctEmon exe 安全 。 office xp 其 入 法 国标 CMTNDOWS\systen32\ctfnon exe 二 
全 FF es 和 ,加 


二 
划 
3 
六 
: 
i 
| 


注 


并 局 先 中 项 刷新 
主 程序 版 本 : 4. 2.0. 1010 特征 库 版 本 : 1 0. 1 1992 主 程序 特征 库 已 经 是 最 新 版 本 350 澡 重 本 马 恶意 区 击 黎 答 


图 8.26 “启动 项 状态 ”功能 


在 “高 级 ”功能 项 中 还 可 查看 “系统 服务 状态 ”“ 网 络 连接 状态 ”“ 高 级 工具 集 ” 等 ,在 此 略 过 。 

4)“ 保 护 ” 功 能 项 

“保护 ”功能 项 包括 “开启 实时 保护 ”和 “保护 360” 功 能 。 如 不 是 局 域 网 用 户 , 建 议 全 部 
开启 这 些 实时 保护 ,如 图 8. 27 所 示 。 
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5 360 安 全 十 Y4.2 订 放 和 回 口 回 四 
© | 醒 | ) aa60 A 
un 各 电 旺 st 


天 二 本 一 一 


铀 已 和 日 主 部 民 扩 功能， 你 的 系统 外 于 360 安 全 卫士 保 护 之 中 


局 委 评 项 首 入 侵 拉 攻 


对 亚 评 白 件 的 安装 先行 警示 ， 对 程 昌 有 亚 评 白 作 的 安装 程序 进 行 提示 关闭 


中 网页 防 汤 及 委 伍 网 站 拦 夫 
拦 大 多 鱼网 站 ， 拦 才 问 页 中 自动 运行 程序 ， 有效 防 止 坏 马上 自动 下 载 、 


区 之 到 
FE 
rere ea 己 下 
开局 
FE 


关闭 


及 时 查 杀 并 彻底 免疫 U 儿 病毒， 开启 后 将 关 闭 北 乔 /V 刍 目 动 运行 功能。 


砚 局 二 同 xr 攻击 拦 规 
对 局 城 同 内 AH 下 击 有 郊 拦 功 ， 保 隧 系 统 网 络 畅 订 及 通讯 实 全 ， 
ARE 拦 攻 商 拓 设置 

加 系统 关键 位 置 保护 
对 所 有 容易 被 恶 评 插 昨 基 改 的 位 置 实时 扫 措 ， 随时 清理 亚 评 插 首 
查看 保护 历史 记录 自 定义 关键 位 置 项 


加 开局 实时 保护 功能 将 会 占 用 一 定 隶 统 资 调 ， 请 根据 你 系统 的 实际 情况 寺 拓 是 否 开局 。 了 入 更 将 学 


关闭 


主 和 刘磊 本 4 8 0 1010 博古 康 版 本 ;1.0 1 1980 主 程 序 和 入 证 库 已 经 是 晤 新 乒 本 ET EET TTT 
图 8.27 “保护 ”功能 项 


“保护 360” 功 能 是 360 安全 卫士 的 自我 保护 功能 ,一 定 要 开启 ,如 图 8. 28 所 示 。 


EEC 


可 360 安 全 了 十 
®@ 至 多 EL 
= EE 上 一 
砚 过 类 深 SentY 
[sme | 保护 360 
360 安 全 卫士 二 保险 区 无法 正 党 使 用 怎么 办 ? 
4 已 开局 对 360 安 全 卫士 的 保护 上 加 果 您 的 960 习 全 卫士 或 保险 箱 无 法 正常 实 半 及 
开局 保护 功 家 有 交 阴 上 木马 ,病毒 等 天 章程 序 对 360 安 全 卫 十 的 运行 ,请 人 用 366 能 复工 具 进 行 修 复 。 
攻击 、 友 十。( 强奸 识 开局 ) 2、 加 果 作 敌后 切 无 法 正 党 合用 360 安 全 卫士 如 人 险 
| 攻关 可 条， 请 360 其 断 工具 进行 和 
| 热门 专 亲 工 具 下 载 至 
“相映 海 不 马 专 郑 T 具 
“开机 病 壹 Denyeon) 专 工具 
历史 拦 共 总 区 击 次 数 : 1752 ua Thate 让 马 雪 关 工 具 
最 后 一 次 拉 革 时 间 : 2009-08-09 12:24-10 下 和 历 生 记 娃 izem 专 杀 I 具 
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习题 和 思考 题 


一 、 问 答题 
1. 简 述 TCP/IP 协议 的 层次 结构 和 主要 协议 的 功能 。 
2. 通常 可 能 带 来 Web 站 点 上 的 安全 问题 有 哪些 ? 
3. 何 为 匿名 转发 , 何 为 邮件 炸弹 ? 简 述 电子 邮件 漏洞 。 
4. 何 为 DNS 电子 欺骗 , 何 为 IP 电子 欺骗 ? 
5. 简 述 你 所 了 解 的 防止 DNS 电子 欺骗 ,IP 电子 欺骗 、Web 欺骗 的 措施 。 
6. 简 述 几 种 保护 电子 邮件 安全 的 措施 。 
7. 简 述 Web 服务 器 、Web 浏览 器 的 安全 要 求 。 
二 、 填空 题 
1. TCP/IP 协议 集 由 上 百 个 协议 组 成 ,其 中 最 著名 的 协议 是 协议 和 
协议 
. IP 协议 提供 和 服务 。 
Web 应 用 面临 的 主要 威胁 有 5 和 系统 崩溃 。 
实现 邮件 加 密 的 两 个 代表 性 的 软件 是 和 和 
. DNS 协议 的 主要 功能 是 
. 避免 ARP 欺骗 可 采用 绑 定 的 方法 。 
三 、 单 项 选择 题 
1. 由 于 IP 协议 提供 无 连接 的 服务 ,在 传送 过 程 中 若 发 生 差错 就 需要 ( ) 协 议 向 源 
节点 报告 差错 情况 ,以 便 源 节点 对 此 做 出 相应 的 处 理 。 
A. TCP B. UDP C. ICMP D. RARP 
2. 下 列 ( ) 项 不 是 Internet 服务 的 安全 隐患 。 
A. E-mail 缺陷 B. FTP 缺陷 C. Usenet 缺陷 D. 操作 系统 缺陷 
3. TCP/IP 应 用 层 的 安全 协议 有 ( 咎 
A. 安全 电子 交易 协议 (SET) B. 安全 电子 付费 协议 (SEPP) 
C. 安全 性 超 文 本 传输 协议 (S-HTTP) ”D. A、B、C 都 对 


amr 


习题 答案 


第 1 章 
、1. 可 靠 性 2. 可 用 性 3. 自然 环境 对 网 络 中 信息 4. 故意 5. 无 意 


1DB (A (DC DD 2 DA (OC (WB (WD (A 


二 、1. 强制 访问 控制 ”2. 自主 访问 控制 ”3. 数字 证 书 用户 的 生理 特征 
4. 主 域 模型 ”完全 信任 模型 ”5. 账号 规则 审核 规则 
Ex1 DD (2C WD 2. (DC 2D (EC 4A (5)C 


第 3 章 


二 、1. A 级 B 级 C 级 2. 交流 工作 地 直流 工作 地 防 雷 保护 地 
3. 防火 防水 防 静 电 4. 10~35 30%~80% 

5. 设备 保护 ”区 域 保护 ”通信 线路 保护 

6. 客户 端 ， 认 证 系统 认证 服务 器 7. ACL 


第 4 章 


1. 完全 备份 ” 增 量 备 份 差别 备份 2. 全盘 恢复 个 别 文件 恢复 
基础 4. 完整 性 5. 系统 信息 6. 并 发 控制 

. 数据 库 恢 复 8. 数据 备份 ”9. 硬件 故障 ”网络 故障 

1.D 2.A 3. A 


第 5 章 


二 、1. 密码 分 析 学 ”攻破 2. 加 密 密 文 明文 3. 链 路 加 密 4. DES RSA 
5. 公开 的 ”保密 的 ”公开 的 ”6. 保护 分 发 

7. 保证 信息 的 保密 性 ”保证 信息 的 完整 性 ”保证 不 可 否认 性 

8. 报 文 鉴别 口令 个 人 持 证 个 人 特征 9. IDEA RSA 10. 加 密 鉴别 单独 
三 CD VB (WD. €D 


第 6 章 


二 、1. 交界 2. 个 人 防火 墙 3. 内 部 防火 墙 
4. 不 能 防范 绕 过 它 的 连接 不 能 防御 全 部 威胁 ”5. 双 穴 主机 子 网 过 滤 
sx WLC A DD BD 
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第 7 章 

二 、1. 网 络 移动 式 存储 介质 ”通信 系统 2. 媒介 3. 良性 恶性 

4. 传播 范围 广 ”清除 难度 大 5. 管理 技术 6. DoS 利用 信息 收集 
7. 缓冲 区 溢出 8. DoS 9. 被 动 

10. 系统 硬件 的 缺陷 ”系统 软件 的 安全 漏洞 11. 主机 12. CNCERT 
三 BD 

7 IE OD CC DD 8 VB (EC. (DD A 


第 8 章 


二 、1. IP TCP 2. 无 连接 的 ” 尽 最 大 努力 的 ”不 可 靠 的 ”3. 信息 泄露 ”拒绝 服务 
4. PEM PGP 5. 实现 域名 与 IP 地 址 的 转换 。 6. IP 地 址 和 MAC 地址 
Ele 2D 4D 
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书号 
9787302103400 
9787302135074 
9787302140962 
9787302124412 
9787302162452 
9787302091301 
9787302159148 
9787302158004 
9787302133957 
9787302118565 
9787302112952 
9787302133940 
9787302098409 
9787302118343 
9787302148807 
9787302097648 
9787302086451 
9787302147640 
9787302147626 
9787302092568 
9787302137801 
9787302116134 
9787302137108 
9787302126539 
9787302116790 
9787302153511 
9787302143093 
9787302118664 
9787302139201 
9787302134398 
9787302111467 
9787302130666 
9787302104292 
9787302141006 
9787302136064 
9787302093442 
9787302129066 
9787302162315 
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系列 书目 
书 名 
C++ 程 序 设计 与 应 用 开发 
C++ 语 言 程序 设计 教程 


C++ 语 言 程序 设计 教程 习题 解答 与 实验 指导 
C 语言 程序 设计 教程 习题 解答 与 实验 指导 
Delphi 程序 设计 教程 (第 2 版 ) 

Java 面向 对 象 程序 设计 教程 

Java 程序 设计 基础 

Java 程序 设计 教程 与 实验 

Visual C#. NET 程序 设计 教程 

Visual C++ 面向 对 象 程序 设计 教程 与 实验 
Windows 系统 安全 原理 与 技术 
奔腾 计算 机 体系 结构 

操作 系统 实验 指导 一 一 基于 Linux 内 核 
Linux 操作 系统 原理 与 应 用 
单片机 技术 及 系统 设计 

程序 设计 方法 解析 
汇编 语言 程序 设计 教程 

汇编 语言 程序 设计 教程 (第 2 版 ) 

计算 机 操作 系统 教程 一 一 核心 与 设计 原理 
计算 机 导论 

计算 机 控制 一 一 基于 MATLAB 实现 

计算 机 图 形 学 原理 及 算法 教程 (Visual C++ 版 ) 
计算 机 网 络 一 一 原理 ,应 用 和 实现 
计算 机 网 络 安全 

计算 机 网 络 实验 

计算 机 网 络 实验 教程 

计算 机 网 络 实验 指导 

计算 机 网 络 基 础 教程 

计算 机 系统 结构 

计算 机 原理 简明 教程 

计算 机 组 成 原理 教程 

离散 数学 

人 工 智 能 (AD 程序 设计 (面向 对 象 语言 ) 

人 工 智 能 教程 


Java 描述 


人 工 智能 与 专家 系统 导论 
人 机 交互 技术 一 一 原理 与 应 用 
软件 工程 


软件 体系 结构 设计 


书 号 
9787302117186 
9787302093589 
9787302093596 
9787302079606 
9787302099840 
9787302108269 
9787302108634 
9787302112518 
9787302149699 
9787302155409 
9787302160151 
9787302106319 
9787302126492 


9787302146032 
9787302146032 
9787302124375 
9787302103653 
9787302150343 
9787302136767 
9787302150503 
9787302148845 
9787302071310 
9787302109013 
9787302140689 
9787302145257 
9787302128250 
9787302084471 
9787302128793 
9787302112358 
9787302154211 


书 名 
数据 结构 Java 语言 描述 
数据 结构 (C 语言 描述 ) 


数据 结构 (C 语言 描述 ) 学 习 指导 与 习题 解答 


数据 结构 (面向 对 象 语言 描述 ) 
数据 结构 教程 

数据 结构 教程 上 机 实验 指导 
数据 结构 教程 学 习 指导 

数据 库 系 统 与 应 用 (SQL Server) 
数据 库 管 理 与 编程 技术 

数据 库 技术 一 一 设计 与 应 用 实例 
数据 库 系统 教程 
数据 挖掘 原理 与 算法 
数字 图 像 处 理 与 分 析 

数字 图 像 处 理 与 图 像 通信 
数字 图 像 处 理 

数字 图 像 处 理 

算法 设计 与 分 析 
算法 与 数据 结构 
UNIX 系统 应 用 编程 

网 络 编程 技术 及 应 用 

网 络 存储 导论 

网 络 设备 配置 与 管理 

微 处 理 器 (CPU) 的 结构 与 性 能 
微机 原理 、 汇 编 与 接口 技术 
微机 原理 ,汇编 与 接口 技术 学 习 指导 
微机 原理 .汇编 与 接口 技术 实验 教程 
微机 原理 与 接口 技术 
信息 安全 数学 基础 
信息 对 抗 与 网 络 安全 

组 合理 论 及 其 应 用 

离散 数学 


